近日，安全研究員Shmuel Cohen在Black Hat Asia大會(huì)上展示了如何用逆向工程破解Palo Alto Networks的Cortex XDR安全軟件，并將其轉(zhuǎn)換為隱蔽持久的“超級(jí)惡意工具“，用于部署后門(mén)程序和勒索軟件。這一發(fā)現(xiàn)凸顯了EDR/XDR等強(qiáng)大安全工具的潛在風(fēng)險(xiǎn)，也為網(wǎng)絡(luò)安全防御敲響了警鐘。

XDR（Extended Detection and Response）是一種集成了威脅檢測(cè)、調(diào)查和響應(yīng)功能的安全解決方案，能夠?yàn)槠髽I(yè)提供全面的安全防護(hù)。然而，強(qiáng)大的功能也伴隨著潛在的風(fēng)險(xiǎn)。Shmuel Cohen的研究表明，EDR/XDR本身也可能成為攻擊者的目標(biāo)，被用來(lái)實(shí)施惡意攻擊。

Cohen通過(guò)逆向工程和分析Cortex XDR軟件，發(fā)現(xiàn)了一些可以被利用的漏洞。他利用這些漏洞，成功地繞過(guò)了Cortex XDR的安全機(jī)制（包括機(jī)器學(xué)習(xí)檢測(cè)模塊、行為模塊規(guī)避、實(shí)時(shí)預(yù)防規(guī)則以及防止文件篡改的過(guò)濾驅(qū)動(dòng)程序保護(hù)）。

具體來(lái)說(shuō)，Cohen做到以下幾件事：

• 修改了XDR的安全規(guī)則，使其無(wú)法檢測(cè)到他的惡意活動(dòng)。
• 部署了后門(mén)程序，使他能遠(yuǎn)程控制受感染的計(jì)算機(jī)。
• 植入了勒索軟件，向受害者索取贖金。
• 敏感用戶(hù)賬號(hào)泄露
• 在系統(tǒng)中長(zhǎng)期駐留（無(wú)法從管理界面遠(yuǎn)程刪除）
• 整機(jī)加密（FUD）
• 完整的LSASS內(nèi)存轉(zhuǎn)儲(chǔ)
• 隱藏惡意活動(dòng)通知
• 繞過(guò)XDR管理員密碼
• 全面利用XDR實(shí)施攻擊

Cohen指出，雖然Palo Alto Networks與其合作修復(fù)了漏洞并發(fā)布補(bǔ)丁程序，但其他XDR平臺(tái)也很可能存在類(lèi)似的漏洞，容易受到攻擊。

Cohen的攻擊證明，即使是像Palo Alto Cortex XDR這樣的知名安全軟件也并非絕對(duì)安全。

安全專(zhuān)家指出，用戶(hù)部署使用功能強(qiáng)大的安全工具時(shí)，不可避免地存在“魔鬼交易“：為了讓這些安全工具完成工作，必須授予它們高級(jí)權(quán)限來(lái)訪(fǎng)問(wèn)系統(tǒng)中的每個(gè)角落。

例如，為了跨IT系統(tǒng)執(zhí)行實(shí)時(shí)監(jiān)控和威脅檢測(cè)，XDR需要盡可能高的權(quán)限，訪(fǎng)問(wèn)非常敏感的信息，而且啟動(dòng)時(shí)不能被輕易刪除。

這意味著一旦攻擊者能夠利用安全軟件的漏洞，就可將其變成殺傷力極大的攻擊武器。因此，企業(yè)在部署EDR/XDR等安全解決方案時(shí)，需要提高警惕，加強(qiáng)安全管理，并定期進(jìn)行安全評(píng)估和漏洞修復(fù)。