以父之名:滥用杀毒软件安装程序,轻松绕过 EDR

大多数红队和攻击者不会从正门闯入。他们会伪装成受信任的对象，并利用已知的安全控制机制。

本文将深入剖析一种利用 Windows 安全中心（WSC）的攻击技术。通过操纵 WSC 的安全产品注册和状态报告机制，攻击者可以欺骗 Windows 系统，使其错误地报告 SentinelOne 或 Microsoft Defender for Endpoint 处于非活动状态或未安装。这实际上蒙蔽了操作系统和安全栈的遥测能力，绕过了原生的可见性和控制平面，从而开辟出一个隐蔽的区域，让后渗透攻击载荷可以自由执行，而不会触发警报或防御措施。

这种技术被称为 “自带（杀毒）安装程序”（Bring Your Own (AV) Installer，BYOAI），它是传统 BYOI 手法的进化版，专为隐蔽性和操作灵活性而设计。它摒弃了嘈杂、粗暴的入侵方式，转而采用一种巧妙的、经过社会工程学设计的注入方式，劫持受信任的安装程序，从而绕过典型的用户态防御。

正确使用 BYOI，这是一种隐蔽的策略，可以劫持合法的杀毒软件安装程序（例如 AVG 的签名二进制文件），以颠覆或绕过先进的 EDR 代理，全程无需释放未签名的驱动程序或依赖内核漏洞。这与“自带易受攻击驱动程序”（BYOVD）形成鲜明对比——后者虽然强大，但往往会产生可检测到的噪音，并且越来越受到现代 EDR 启发式检测的严格审查。

BYOI 通过利用 Windows 安全中心（WSC）的 Windows 原生杀毒提供商仲裁机制，在系统雷达下运行。它将受信任的、已签名的安装程序和标准的 Windows MSI 安装流程武器化，从而从 SentinelOne 手中夺取 AV 提供商的位置，有效地使其钩子和遥测功能失效。

在本文中，我们将使用 AVG 杀毒软件安装程序 来夺取运行 SentinelOne 的 Windows 11 主机上的 AV 提供商位置。一旦劫持完成，SentinelOne 的内核和用户态传感器将失去可见性，策略执行将失效，或者代理进入休眠模式（具体取决于其内部配置和故障安全逻辑）。

从此，攻击者的乐园便出现了：操作系统安全栈内部出现了一个全新的盲点，后渗透攻击载荷可以在此持久化、执行并“靠地生存”，同时完全在操作系统自身受信任的框架内运行，彻底躲避检测。

什么是 BYOI？

BYOI（自带安装程序） 是一种后渗透技术，攻击者巧妙地将恶意活动嵌入到合法安装程序的执行流程中——这些安装程序通常已经签名、受信任，并且常常被端点安全解决方案加入白名单。

与其投放一个明显异常或定制的二进制文件（那会引发警报），我们战术性地利用了内置于合法、知名软件安装程序中的隐式信任。这些安装程序自带经过加密验证的数字签名、嵌入在供应商签名目录中的一致性哈希值，以及基于信誉的检测框架中已有的信誉遥测数据。这三重信任向量有效地中和了杀毒软件和 EDR 的行为及签名检测管道，使攻击者能够伪装成系统授权的代码，通过合法的 MSI 安装序列执行，从而绕过用户态监控器。

BYOI 的工作原理

一个典型的 BYOI 攻击是如何实施的？

1. 选择一个受信任的安装程序

攻击者选择一个在典型环境中常见的安装程序，例如 AVG 杀毒软件、Zoom、Slack 或 Adobe Reader。该文件通常经过数字签名，因此被操作系统、EDR 甚至应用程序白名单策略所信任。

2. 包装或链式加载恶意载荷

攻击者通过批处理脚本包装安装程序、修改安装例程或添加安装后钩子。恶意载荷（PowerShell、Shellcode 加载器、令牌窃取器、C2 Beacon 等）在安装过程中或安装完成后执行，通常用户几乎看不到任何迹象。

3. 利用继承的信任

由于父进程是合法的已签名安装程序，其子进程（如 powershell.exe 和 rundll32.exe）会继承这种隐式信任。在安全遥测的眼中，这些衍生进程获得了更高的可信度，从而有效绕过行为分析和执行阻止机制——这些机制通常会对可疑行为进行标记或阻止。那些旨在软件安装期间抑制警报的安全工具，往往无法将恶意活动与威胁关联起来。

为什么 BYOI 如此有效？

• 低误报区域：安装程序通常会运行多个进程、写入磁盘、更新注册表项并启动服务——这和恶意软件的行为如出一辙。为了避免误报，EDR 会故意在这些操作期间抑制噪声检测。BYOI 正好利用了这一点来混入其中。
• 已签名、白名单且熟悉：大多数组织允许执行知名的安装程序文件（例如 ZoomInstaller.exe），安全工具也可能信任任何由已知发布者签名的内容。
• 无需漏洞利用：这里不涉及任何漏洞，只是武器化了用户信任和安装流程。这是系统级别的社会工程学攻击。
• 无文件载荷：当与 PowerShell 或 LOLBins 结合时，BYOI 几乎变得不可见——磁盘上没有 .ps1 文件，没有释放的 EXE，除非刻意添加，否则没有任何持久化内容。

简而言之：攻击者披上一只受信任的羊的外衣，把一只狗藏在里面。

🏴‍☠️ 旧招仍金：安装程序一直是完美的掩护

虽然 BYOI 听起来很现代、很聪明，但事实上这种战术并不新鲜，它只是在随着时代演变。

在过去……攻击者使用合法软件安装程序捆绑广告软件、工具栏，后来是恶意软件。从 torrent 网站上的破解游戏到虚假的 Flash Player 更新，安装程序一直是隐蔽的投递机制。为什么？因为用户期望它们更改系统、释放文件并运行脚本。

然后 EDR 出现了……随着端点检测与响应系统变得愈发智能，攻击者只是转变了策略：

• 开始用安装后载荷包装安装程序。
• 在安装过程中，开始触发 LOLBins（如 regsvr32、mshta 或 rundll32）。
• 而现在，有了无文件载荷，这个游戏又升级了。

为什么它仍然有效？

• 已签名二进制文件 = 自动信任
• 安装程序的噪音 = 警报抑制
• 安装程序的行为 = 表面上“正常”
• 低检测阈值 = 执行期间不会触发警报

Windows 11 中的 EDR 注册机制

当在 Windows 11 端点上部署 SentinelOne 时，必须验证代理是否正确注册到操作系统内置的安全框架——Windows 安全中心（WSC）。这确保了与 Microsoft Defender 防病毒软件无冲突，并且端点保护按预期工作。

Microsoft Defender for Endpoint（MDE） 深度集成到 Windows 操作系统中，利用 Windows Defender 防病毒软件和安全子系统等原生组件实现无缝保护。MDE 的遥测和健康报告与操作系统事件管道紧密耦合，在 WSC 中提供更准确、及时的状态更新。MDE 的策略和更新通过原生 Windows 更新通道和 Microsoft Endpoint Manager 进行管理，确保代理自动保持最新状态。与第三方 EDR 不同，MDE 可以优雅地与其他代理共存或取代它们，从而优化系统资源并减少安全栈中的冲突。

已注册的防病毒产品示例

当 SentinelOne 代理注册到 WSC 时，WMI 会报告以下信息：

• displayName: Sentinel Agent
• pathToSignedProductExe: SentinelRemediation.exe
• productState: 266240（表示已注册且处于活动保护状态）

这意味着什么？

当 SentinelOne 作为主防病毒提供商注册到 WSC 时，Windows Defender 防病毒软件会自动进入被动模式。在此状态下：

• Defender 防病毒软件仍存在于磁盘上。
• 它不会主动扫描。
• 除非 SentinelOne 被注销或禁用，否则它不会提供实时保护。

这种设计确保了防病毒软件之间不会发生冲突，同时只有一个 AV 提供商在某一时刻处理实时保护。

SentinelOne 的 WSC 注册行为

当 SentinelOne 安装时：

• 它通过 SecurityCenter2 在 WMI 类 AntiVirusProduct 中注册自身。
• 这会禁用 Defender 防病毒软件的实时保护以避免冲突。
• Defender 仍会用于某些功能，如 Microsoft Defender SmartScreen、Exploit Guard 规则和 ASR（攻击面减少）规则（如果 SentinelOne 没有覆盖它们）。

你可以通过 PowerShell 验证此状态：

Get-CimInstance -Namespace root\SecurityCenter2 -ClassName AntiVirusProduct

或查看 Defender 的实时保护状态：

Get-MpComputerStatus | Select AMRunningMode, RealTimeProtectionEnabled

如果 AMRunningMode = Passive，Defender 未提供保护。如果 RealTimeProtectionEnabled = False，则 SentinelOne 处于活动状态，Defender 处于被动模式。

BYOI 攻击实战

环境准备

在启动 BYOI 仿真或红队行动之前，使用正确的工具、权限和安全控制来准备实验室或测试环境至关重要。这确保了你的仿真实用且真实，尤其是在试图绕过成熟的 EDR 产品（如 SentinelOne）时。

本指南使用 AVG 杀毒软件安装程序 来投递无文件 PowerShell 载荷，从而绕过检测并静默运行。

工具清单

• avg_antivirus_free_setup.exe（官方安装程序）
• 自定义 installer_wrapper.bat 文件
• PowerShell 载荷（本演示中为无文件创建本地用户）
• 目标机器上的管理员访问权限（测试环境）

目标环境

• Windows 10/11 系统
• 已部署 SentinelOne（检测或 EDR 模式）

当 BYOI 遇上第三方 AV 和 EDR

目标是将恶意活动与看似良性的安装过程融合在一起，使用的正是第三方防病毒程序——本例中为 AVG Free Antivirus。

为什么选择 AVG？ 它的免费安装程序体积大、已签名，并且通常受到端点安全工具的信任。通过将此安装程序与安装后的隐蔽载荷链式加载，我们降低了初始的可疑面，尤其是在日志嘈杂或 EDR 在安装后不够激进的环境中。

BYOI 是一种经典的红队战术，利用了人们对合法软件的信任。通过将真实的安装程序（如 AVG 杀毒软件）与安装后载荷链式加载，攻击者可以悄无声息地绕过 EDR——尤其是那些依赖信誉、签名匹配或抑制安装程序噪音的 EDR。

攻击目标

1. 静默安装 AVG。
2. 抑制 UI 弹窗。
3. 通过 PowerShell 部署一个隐藏的本地管理员用户。
4. 全程保持隐蔽。

攻击步骤

1. 静默安装 AVG

start /wait C:\Temp\avg_antivirus_free_setup.exe /silent /norestart /desktopshortcut=0 /installandquit

• /silent：无 UI 提示。
• /norestart：避免系统重启提示。
• /installandquit：安装完成后结束进程。

这一步启动了“受信任的”AVG 安装活动。

2. 终止 AVG UI

taskkill /f /im avgui.exe >nul 2>&1

• 防止 AVG 产生任何安装后弹窗。
• >nul 2>&1：静默抑制错误/输出。

注：虽然有多种方法可以静默安装，但我更喜欢这种方法。

3. 部署隐藏的本地管理员用户（PowerShell）

net user sys_debug P@ssw0rd123! /addnet localgroup administrators sys_debug /addreg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v sys_debug /t REG_DWORD /d 0 /f

这段代码执行以下关键操作：

• 创建一个名为 sys_debug 的新隐藏本地管理员用户。
• 通过 SpecialAccounts\UserList 在登录屏幕上隐藏该用户。
• 密码永不过期。
• 使用 -WindowStyle Hidden 避免弹出 PowerShell 窗口。

即使安全工具稍后终止了脚本，这个隐蔽账户仍然会持久存在。

检测规避要点

• 无释放器或额外二进制文件：整个载荷是内联的，非常适合规避基于哈希的检测。
• 通过注册表隐藏用户：绕过本地用户审计的经典技巧。
• AVG 上下文：利用受信任的安装程序名称和路径，让 EDR 对是否告警产生犹豫。
• 无网络活动：本地权限提升，没有回连或 C2 连接 = 低噪音。

Windows 11 24H2 实测结果

我们监控了数小时，预期会出现警报或事件。尽管运行了 AVG.exe 及其子进程并执行了额外操作，没有产生任何检测或警报。

当 AVG 安装在已有 SentinelOne 或 MDE 的系统上时会发生什么？

当你在一个已经注册了 SentinelOne 或 MDE 的 Windows 11 系统上安装 AVG 杀毒软件时，以下是可能发生的情况：

Windows 安全中心可能重新分配 AV 角色

只有一个产品可以注册为 WSC 的实时防病毒提供商。 如果 AVG 安装自身并注册到 WSC，它可能取代 SentinelOne 成为已注册的 AV——即使 SentinelOne 仍在后台运行。

SentinelOne 可能进入被动或“共存”模式（不理想）

如果 AVG 接管了角色：

• SentinelOne 仍会运行，但可能失去在 WSC 中的可见性。
• 某些保护功能可能被部分禁用或降级。
• 如果 SentinelOne 不是 WSC 中的活动 AV，其策略执行、警报或行为保护可能被破坏。

这打破了许多安全模型中的假设

当 SentinelOne 是你的指定 AV/EDR 时：

• 你期望它检测并阻止恶意软件。
• 你依赖它提供遥测、威胁修复和基于行为的 AI。
• 但如果 AVG 劫持了注册，Windows 将其视为主 AV，那么：

• Defender 保持被动。
• SentinelOne 对 WSC 变得“不可见”。
• 你可能会错过 AVG 或其包装脚本衍生的恶意子进程。

总结

“自带（杀毒）安装程序（BYOAI）规避：滥用杀毒软件绕过 EDR” 一文详细介绍了一种复杂的技术，攻击者利用合法的杀毒软件安装程序来绕过先进的端点检测与响应（EDR）解决方案。

通过利用 Windows 安全中心的 AV 提供商仲裁机制，攻击者注册受信任的第三方 AV 安装程序（例如 AVG），以覆盖或禁用活动的 EDR 代理（包括 SentinelOne 和 Microsoft Defender for Endpoint）。这种操纵使 EDR 的遥测和策略执行失效，而无需内核漏洞或未签名的驱动程序，从而实现隐蔽的持久化和后渗透载荷的执行。

该方法利用了人们对已签名安装程序的内在信任，使攻击者能够在 Windows 原生安全框架内操作，完全躲避检测。本文还演示了如何在 Windows 11 上将 AVG 安装程序武器化，以夺取 AV 提供商位置，从而创建一个盲点，让恶意活动可以不被察觉地运行。