新型攻击方式可绕过EDR检测，静默窃取Windows系统凭证
内容提要
研究人员发现一种新攻击技术，能够绕过大多数终端检测与响应（EDR）系统，静默窃取Windows系统中的敏感凭证。该技术利用Windows内部机制，攻击者可在不触发警报的情况下直接读取受保护的注册表配置单元。
关键要点
-
研究人员发现一种新型攻击技术，能够绕过大多数终端检测与响应（EDR）系统。
-
该技术可以静默窃取Windows系统中的敏感凭证信息。
-
攻击者在获取Windows系统初始访问权限后，可以收集凭证进行横向移动，而不会触发安全警报。
-
Windows凭证管理机制通过lsass.exe进程管理敏感信息，使用SAM和SECURITY两个内存数据库。
-
SAM数据库管理用户、组和别名对象，存储用户凭证，但无直接获取明文凭证的API接口。
-
安全数据库管理策略、信任域、账户和机密对象，存储LSA机密信息如缓存的域凭证和机器密钥。
-
访问凭证需要直接与受保护的SAM和SECURITY注册表配置单元交互，这些配置单元仅限SYSTEM权限账户访问。
-
现代安全工具能检测大多数已知的凭证窃取技术，但新型攻击技术能够绕过这些检测。
-
新型双重攻击技术利用NtOpenKeyEx绕过访问控制，直接读取SAM和SECURITY配置单元。
-
攻击者使用RegQueryMultipleValuesW读取注册表值，避免触发EDR警报。
-
该技术使整个操作在内存中完成，不产生磁盘痕迹，避开常规恶意行为检测。
延伸解读
新型攻击技术的隐蔽性
研究人员发现的新型攻击技术能够在不触发EDR警报的情况下，静默窃取Windows系统中的敏感凭证。这种隐蔽性使得攻击者可以在获取初始访问权限后，进行横向移动而不被发现，给企业安全带来新的挑战。
EDR系统的局限性
尽管现代EDR系统能够检测大多数已知的凭证窃取技术，但由于其监控主要集中在高风险API调用和特定注册表路径，导致一些新型攻击手法能够轻易绕过检测。这提醒企业在选择安全工具时，需关注其对新兴威胁的适应能力。
Windows内部机制的利用
攻击者利用Windows内部机制，如NtOpenKeyEx和RegQueryMultipleValuesW，成功绕过了访问控制和检测。这表明，操作系统本身的合法功能可能被恶意利用，企业在安全防护时需考虑操作系统的安全性和潜在风险。
延伸问答
新型攻击技术是如何绕过EDR系统的？
该技术利用Windows内部机制，通过NtOpenKeyEx绕过访问控制，直接读取SAM和SECURITY配置单元，而不触发EDR警报。
攻击者如何静默窃取Windows系统中的凭证？
攻击者在获取初始访问权限后，使用RegQueryMultipleValuesW读取注册表值，避免触发安全警报。
Windows凭证管理机制是如何运作的？
Windows凭证管理机制通过lsass.exe进程管理敏感信息，使用SAM和SECURITY两个内存数据库来存储用户凭证和LSA机密信息。
新型攻击技术对现有安全工具的影响是什么？
该技术能够绕过大多数现代安全工具的检测，证明即使是成熟的防御系统也可能被合法功能所绕过。
EDR系统通常如何监控系统活动？
EDR系统主要依赖内核模式回调例程监控高风险API调用和特定注册表路径，而非所有系统操作。
攻击者在窃取凭证后可以进行什么操作？
攻击者可以利用窃取的凭证进行横向移动，进一步访问其他系统或资源，而不会触发安全警报。
