BYOEDR — 正規の商用EDRを悪用する防御回避の手口

1. はじめに

Black Kiteの2026年版調査では、2025年4月から2026年3月までにリークサイトで公開されたランサムウェア被害は7,551件で、前の12か月から24.9%増加しています。ESETは、近年のランサムウェア攻撃で、暗号化の実行前にEDRを無効化する手口を多く観測していると報告しています。

EDRを無効化する手口には、脆弱なドライバの悪用や管理サーバとの通信遮断があります。脆弱なドライバを持ち込む方法は、ドライバのブロックリストやロードの記録が手がかりになります。これに対し2025年以降、防御側が正規に使っている商用EDRを攻撃の道具に転用するBYOEDRの研究が公開されました。持ち込まれるのが正規の製品であるため、ファイルが悪意あるものかどうかという見方では捉えられません。このレポートでは、BYOEDRの仕組みと公開事例、運用上の注意点を紹介します。

2. BYOEDRとは

BYOEDR（Bring Your Own EDR）は、攻撃者が自分で用意した商用EDRを侵害済み端末へ持ち込み、その正規機能や脆弱性を攻撃に転用する手口の総称です。EDRは、端末に導入するソフトウェアと、設定を配布して検知結果を受け取る管理サーバで構成されます。攻撃者は、無償トライアルへの登録や、インターネット上に出回っているインストーラの入手によって、自分の管理下にあるEDRを手に入れます。

BYOEDRは特定のCVEを指す名称ではなく、利用する機能や成立条件は研究ごとに異なります。ただし、いずれの事例もEDRを端末に導入する操作を伴います。これはローカル管理者権限がなければ実行できないため、BYOEDRは攻撃者がすでに端末へ侵入し、管理者権限を得たあとの段階で使われます。

2.1 BYOVDとの違い

BYOVD（Bring Your Own Vulnerable Driver）は、脆弱な署名済みドライバを持ち込み、その脆弱性を悪用してカーネルの権限を得たうえで、EDRのプロセスを強制終了させる手法です。

一方、BYOEDRで持ち込むのは正規の商用EDRです。使われるのはEDR自身の特権で、脆弱性を突く必要がありません。EDRは、他のプログラムを強制終了したり、自分のファイルやプロセスを他のプログラムから守ったりするために、OSから高い権限を与えられています。管理サーバから設定を配って端末側の動作を変えられる点も含め、これらは本来の機能として備わっています。攻撃者が自分で高い権限を用意する必要はありません。EDRを管理する側に立てば、EDRが持つ権限をそのまま使えます。

同じことは他のソフトウェアの持ち込みでは成立しません。EDRのプロセスは、マルウェア対策用の署名を受けた製品にだけ与えられるPPL（Protected Process Light）の保護下で動きます。PPLは、管理者権限を持つ他のプロセスからの干渉（メモリの読み出し、強制終了、コードの注入）を防ぐ仕組みです。これに自身のファイルを守る改ざん防止の仕組みと、他のプロセスを止める権限が加わります。この組み合わせを正規の手段で入手できる点が、商用EDRが選ばれる理由です。

カーネルの権限を使わなくなるわけではありません。プロセスの停止やファイルのブロックは、EDRが正規に導入しているドライバが実行します。攻撃者が持ち込む必要がないだけで、カーネルで動くドライバは変わらず関与します。

BYOVD と BYOEDR の経路の違い

公開されている手口で、持ち込んだEDRを攻撃に転用する事例を2つ紹介します。2.2は管理サーバから配る設定を使って既存EDRを止めるもの、2.3は端末側のEDR内部の機能を使って攻撃者のコードを守るものです。2つは独立した事例であり、検証された製品・構成も異なります。

2.2 持ち込んだEDRの設定配布機能で既存のEDRを停止させる

商用EDRの無償トライアルを利用し、攻撃者が管理できるEDRを侵害済み端末へ追加する手口です。Mike Manrod氏とEzra Woods氏が2025年7月30日に「EDR-on-EDR Violence」として公開しました。攻撃者は自分の管理画面から設定を配布するため、被害組織のEDR管理アカウントを使う必要がありません。

既存EDRの実行ファイルを、ハッシュ値でブロック対象に登録します。この設定が端末に反映されると、持ち込んだEDRが既存EDRの実行を妨げ、既存EDRは起動できなくなります。検証では、この方法で既存のEDR 2製品を停止させました。悪用されたのは、ポリシーの配布と実行ブロックという正規機能です。

被害側では、ホストのオフライン表示以外にアラートやテレメトリを確認できなかったと報告されています。また、別の検証では既存EDRを攻撃者の管理下に移せる製品もありました。ただし、これらは限られた製品・構成での結果であり、すべてのEDRに同じ操作が通用するとは限りません。

2.3 持ち込んだEDRの診断・自己保護機能で攻撃者のコードとファイルを守る

持ち込んだEDRを、PPLの内側でコードを動かすための足場として使う手口です。AkamaiのShahak Morag氏が2026年8月7日に公開した研究で、ローカル管理者権限を前提として確認されています。

攻撃者は、インターネット上に出回っているインストーラを侵害済み端末へ持ち込んで実行します。インストールでは、エージェントを管理テナントに紐づけるサイトトークンを求められますが、この検証を偽装すれば契約がなくても完了します。トークンには接続先のURLが含まれ、エージェントはそこへ通信を試みるため、攻撃者は受け皿となるサーバを用意します。入ったEDRは被害組織の管理テナントには紐づかず、検知機能も動きません。利用者には保護中と表示されるだけです。攻撃者が使うのは検知機能ではなく、EDRに与えられた権限と保護の仕組みです。次の順で組み合わせます。

1. 診断機能の悪用：PPLの内側で攻撃者のコードを動かします。EDRが備える障害調査用のメモリダンプ機能には、呼び出した相手を確認する処理が入っていません。この機能自体がPPLの内側で動くため、ローカル管理者はPPLに守られたプロセスのメモリを読み出せます。読み出したメモリから得た情報を使うと、別のPPL保護プロセスのなかで未署名のコードを実行できます。EDRを守るためのPPLが、そのまま攻撃者のコードを守ります。

2. 改ざん防止の悪用：攻撃者のファイルをEDRに保護させます。EDRは、自身のファイルが削除・変更されないよう保護しています。攻撃者は正規のコマンドでこの保護を一時的に解除し、自分のファイルをEDRの管理領域に置いてから保護を戻します。その後、そのファイルはEDRのドライバに守られ、削除や隔離がしにくくなります。

サイトトークンの検証と診断機能の呼び出し元確認は、いずれも製品側の脆弱性にあたりますが、公開情報ではCVE番号を確認できていません（CVE未採番）。これらは研究での実証であり、同じ手順が実攻撃で使われていることは確認されていません。

3. 対応

紹介した2つの事例は、いずれもローカル管理者権限でEDRを端末へ導入することが前提です。残る痕跡は事例によって異なり、2.2では既存EDRが停止して報告が途絶えますが、2.3では既存EDRは止まらず、未承認のEDRが導入された記録が残ります。対応では、導入そのものを制限したうえで、この2種類の痕跡を拾えるようにします。

• 管理者権限の見直し：ローカル管理者権限を常時付与する利用者を必要最小限に絞る。業務で必要な操作を確認し、通常業務は標準ユーザー権限で行う。

• 未承認EDRの導入検知：端末に導入されているセキュリティ製品の一覧を資産管理側で把握し、契約していない製品を洗い出す。インストーラの実行、サービスやドライバの登録、EDRの管理領域へのファイル配置も監視対象にする。棚卸しの間隔が長いと発見が遅れるため、確認の頻度を決めておく。

• タンパープロテクションの設定：自組織のEDRについて、タンパープロテクションを有効にし、自組織EDRの無効化を防ぐ。タンパープロテクションが有効でも製品によっては無効化される場合があるので注意が必要です。

• 停止・未報告の監視：管理サーバ側で最終通信時刻と未報告端末を確認し、通知機能を利用できる場合は想定外の途絶を自動通知する。通常の電源断やスリープ、保守停止を考慮して通知条件を設定する。通常の停止や通信障害と切り分け、途絶だけで攻撃と断定しない。

4. まとめ

BYOEDRは正規の商用EDRとその機能を悪用するため、実行ファイルが正規のものかどうかだけでは攻撃を見分けにくい手口です。既存EDRが停止すれば検知・阻止が働かなくなり、EDRの保護下に置かれた攻撃者のファイルは削除しにくくなります。こうした性質から、ランサムウェアを実行する前に防御を弱める手段になり得ます。

紹介した手法は、ローカル管理者権限を前提に、限られた製品・構成で実証されたものです。既存EDRが停止した場合の報告の途絶は、異常に気づく手掛かりになります。ただし、未承認のEDRを持ち込むだけでは既存EDRは止まらず、途絶も起きません。ローカル管理者権限の常時付与を見直したうえで、日常の運用ではアラートの確認や未報告端末の点検に加えて、端末に導入されているセキュリティ製品の一覧を確認することが推奨されます。

出典