در بسیاری از حملات پیچیده، اولین اقدام عامل تهدید (Threat Actor) پس از دستیابی به دسترسی مدیر محلی (Local Admin) در یک سیستم، هدف قرار دادن مستقیم ابزارهای امنیتی است. این اقدام پیش از سرقت اعتبارنامه‌ها یا حرکت عرضی (Lateral Movement) انجام می‌شود تا با از کار انداختن قابلیت‌های نظارتی، محیطی تاریک برای اجرای مراحل بعدی حمله ایجاد شود.
مکانیسم‌های غیرفعال‌سازی ابزارها
این تکنیک معمولاً با متوقف کردن فرآیندها (Process Killing) یا تغییر مقادیر رجیستری آغاز می‌شود. هدف نهایی این است که ثبت رویدادها (Logging) متوقف شده و دید امنیتی تیم SOC از بین برود. برای مثال، ابزار EDRKillShifter متعلق به گروه باج‌افزار RansomHub در سال ۲۰۲۴، از یک درایور آسیب‌پذیر قانونی برای دسترسی به سطح هسته (Kernel-level) استفاده کرد تا فرآیندهای EDR و آنتی‌ویروس را پیش از اجرای Payload اصلی باج‌افزار، به‌طور کامل متوقف کند.
علاوه بر متوقف کردن مستقیم فرآیندها، برخی مهاجمان روی آرتیفکت‌هایی تمرکز می‌کنند که ابزار امنیتی به آن‌ها وابسته است. یک نمونه مستند، تغییر مقادیر Start و Enable در رجیستری مربوط به Sysmon است. در این حالت، فرآیند Sysmon همچنان در حال اجرا به نظر می‌رسد، اما جمع‌آوری داده‌ها متوقف شده و ابزار عملاً کور می‌شود.
تفکیک فعالیت‌های قانونی از مخرب
تغییرات در ابزارهای امنیتی به‌طور معمول برای مقاصد مدیریتی و قانونی رخ می‌دهد. تفاوت کلیدی در مکانیسم تغییر نهفته است:
- فعالیت قانونی: تغییرات از طریق پنل مدیریت مرکزی (Management Plane) یا ابزارهای استقرار رسمی سازمان اعمال می‌شوند.
- فعالیت مخرب: تغییرات از طریق دستورات مستقیم Kill، ویرایش دستی رجیستری یا تلاش برای تغییر فایل‌ها توسط فرآیندهای ناشناس صورت می‌گیرد.
نقش Tamper Protection و محدودیت‌های آن
قابلیت Tamper Protection به‌طور خاص برای جلوگیری از تغییرات غیرمجاز در فرآیندها، تنظیمات رجیستری و فایل‌های عامل (Agent) امنیتی طراحی شده است. با این حال، باید به این نکته توجه داشت که این قابلیت معمولاً تنها از منابع داخلی پلتفرم محافظت می‌کند و ابزارهای شخص ثالث (مانند Sysmon) را پوشش نمی‌دهد. برای شناسایی دستکاری در ابزارهای جانبی، تکیه بر سیاست‌های تشخیص رفتاری (Behavioral Detection) ضروری است.
راهکارهای شناسایی و پاسخ
برای مقابله با این تکنیک، تحلیلگران امنیتی باید مراحل زیر را دنبال کنند:
- بررسی هشدارهای Tamper: هرگونه هشدار مربوط به دستکاری ابزار امنیتی باید با اولویت بالا بررسی شود، زیرا عامل تهدید به‌ندرت به‌طور تصادفی این اقدام را انجام می‌دهد.
- تحلیل زنجیره فرآیندها (Process Chain): بررسی اینکه چه فرآیندی اقدام به متوقف کردن ابزار امنیتی کرده است. اگر فرآیند initiating از طریق کنسول مدیریت یا ابزار Patch شناخته شده نباشد، احتمال حمله بسیار زیاد است.
- پایش لایه Kernel: در حملاتی که از درایورهای آسیب‌پذیر استفاده می‌کنند، لایه‌های حفاظتی هسته باید فعال و به‌روز باشند، زیرا Tamper Protection معمولی ممکن است در برابر حملات سطح Kernel ناتوان باشد.
