Nova Técnica de Evasão de EDR Abusa de Processos Filhos para Injeção de Código

Pesquisadores do Zero Salarium identificaram uma nova forma de injeção remota de código que burla a detecção de EDRs. A técnica evita o uso das APIs VirtualAllocEx e WriteProcessMemory, comumente monitoradas por soluções de segurança. Em vez disso, o método abusa de processos filhos interativos, como nslookup.exe e netsh.exe, para injetar shellcode diretamente na memória. Isso ocorre ao escrever a payload no hStdInput (o pipe de entrada padrão) do processo filho, utilizando a função WriteFile. Depois, VirtualProtectEx concede permissões de execução e um desvio de thread direciona a execução para o código malicioso.

Para as equipes de defesa, a adoção desta técnica significa que as estratégias de detecção precisam evoluir. É fundamental monitorar chamadas a VirtualProtectEx em processos remotos, além de atividades de leitura e escrita em named pipes. Observar a região de memória onde os programas de console armazenam seus comandos também se torna uma necessidade. Essa abordagem reduz a capacidade das EDRs de identificar atividades maliciosas baseadas nas APIs tradicionais, forçando uma reavaliação das táticas de caça a ameaças.

Esta nova técnica representa uma evolução nas táticas de evasão de EDR, especialmente no contexto da injeção de processos filhos. Embora a cobertura anterior do CEVIU, como o artigo "Process Preluding: Injeção de Processos Filhos Bypassa Segurança no Windows" de 2 de março de 2026, já destacasse como atacantes podem abusar da criação de processos filhos para burlar a segurança, a abordagem atual é mais furtiva. Enquanto a técnica de "Process Preluding" focava em contornar os hooks de Event Tracing for Windows (ETW) para monitoramento de processos, a descoberta do Zero Salarium vai além. Ela evita APIs de injeção tradicionais ao explorar o mecanismo de entrada padrão dos consoles, criando um vetor de ataque que exige novos pontos de monitoramento.

A eficácia das soluções EDR é constantemente desafiada por novas táticas de evasão. Quando uma técnica como esta, que subverte mecanismos esperados de detecção, surge, ela eleva a complexidade da cibersegurança. Empresas e governos que dependem fortemente de EDRs para proteção de endpoint precisam revisar suas estratégias. A adoção generalizada dessa técnica por grupos de ataque pode aumentar significativamente o risco de comprometimento, exigindo investimentos em telemetria mais granular e habilidades de caça a ameaças para identificar anomalias nos sistemas de entrada e memória dos processos.