PhantomBuffer: تجاوز فعال لأنظمة EDR عبر الحقن الخفي

أساليب الهجوم وتقنياته2026-10-22, 07:32
تقنية جديدة، PhantomBuffer، تتيح حقن حمولة خفي في عملية هدف دون الاعتماد على واجهات API المعروفة — WriteProcessMemory وVirtualAllocEx. بدلاً من ذلك، تستغل آليات Windows الشرعية لإخفاء نشاط الحقن.
لماذا تعمل
  1. تسليم الحمولة دون WriteProcessMemory. بدلاً من الكتابة إلى الذاكرة، تستخدم SendMessageW مع رسالة WM_SETTEXT. تُرسل الحمولة كنص إلى عنصر تحكم تحرير (على سبيل المثال، في Notepad على Windows 10 أو في regedit.exe على Windows 11)، وينسخها النظام إلى ذاكرة العملية الهدف.
  2. اختطاف تدفق التنفيذ عبر مصحح أخطاء شرعي. بدلاً من استخدام واجهات API مشبوهة مثل SetThreadContext، تستغل cdb.exe، وهو مصحح أخطاء مضمّن في Windows Debugger Tools. يتصل بالعملية ويضبط سجل مؤشر التعليمات (RIP) على عنوان الحمولة. ولأن مصححات الأخطاء أدوات تطوير شرعية، فقد يبدو استخدامها أقل إثارة للشك.
يتكون PoC من أداتين: • FindTargetWindows.exe — يبحث عن عمليات GUI ذات عناصر تحكم إدخال مناسبة. إذا لم يُعثر على أي منها، يمكنه تشغيل عملية مناسبة. • PhantomBuffer.exe — الأداة الرئيسية، التي تسلّم الحمولة وتحدد موقعها في الذاكرة وتعيد توجيه تنفيذ خيط إلىها باستخدام cdb.exe.
القيود: • يلزم وجود عنصر تحكم إدخال مناسب. لن تعمل التقنية دون عملية هدف تحتوي على عنصر تحكم GUI مناسب. • مشكلة البايت الفارغ. قد لا تُكتب الحمولات التي تحتوي على بايتين فارغين متتاليين (0x00 0x00) بشكل صحيح في العملية الهدف، لأن الإرسال النصي قد يقتطع البيانات. • مسار المصحح. قد تضع بعض أدوات الأمان علامة على cdb.exe إذا تم تشغيله من موقع غير قياسي. قد يقلل استخدام مسار التثبيت الافتراضي لـ Windows Debugger Tools من الشك.
المقال: https://www.zerosalarium.com/2026/10/PhantomBuffer-Effective-EDR-Evasion-Stealth-Injection.html الأدوات: https://github.com/TwoSevenOneT/PhantomBuffer
المورّدون
المنتجات
المزيد