Descoberta e panorama
O pesquisador Ryan Framiñán publicou uma ferramenta chamada SilentButDeadly que utiliza a Windows Filtering Platform (WFP) para criar bloqueios temporários e bidirecionais na conectividade de agentes de segurança. A implementação, disponível no repositório loosehose/SilentButDeadly no GitHub, é apresentada como evolutiva da técnica EDRSilencer (2023) e foca em isolamento de rede — não em terminação de processos.
Abordagem técnica
A execução da ferramenta segue fases bem definidas: verificação de privilégios (API CheckTokenMembership()), descoberta de processos por CreateToolhelp32Snapshot() e mapeamento de caminhos completos dos executáveis. A WFP é iniciada com uma sessão dinâmica (FWPM_SESSION_FLAG_DYNAMIC) para permitir limpeza automática.
O bloqueio de tráfego é aplicado nos níveis ALE: saída via FWPM_LAYER_ALE_AUTH_CONNECT_V4 e entrada via FWPM_LAYER_ALE_AUTH_RECV_ACCEPT_V4, com pesos de prioridade altos (0x7FFF) e condições AppID por processo. Executáveis são convertidos para blobs de AppID com FwpmGetAppIdFromFileName0(), permitindo filtragem precisa por caminho do binário.
Após o isolamento, a ferramenta também pode parar serviços afetados e alterar o tipo de inicialização para SERVICE_DISABLED, impedindo reinícios automáticos. Há opções de linha de comando como --verbose (logging) e --persistent (filtros duradouros). O autor afirma uso de APIs legítimas apenas, sem modificações de kernel; porém, a execução requer privilégios de administrador.
Vetores, alvos e artefatos
O código inclui uma lista de alvos conhecidos — entre eles SentinelAgent.exe (SentinelOne), MsMpEng.exe (Microsoft Defender) e MsSense.exe (Defender ATP) — e permite extensão por um array simples. Operacionalmente, a ação interdita atualizações em nuvem, uploads de telemetria e comandos remotos, enquanto mantém detecções locais dos agentes intactas.
Os artefatos detectáveis citados pelo autor incluem eventos da WFP (IDs 5441 e 5157) e modificações de serviços. A presença de regras temporárias pode ser verificada com utilitários como netsh wfp e consultas PowerShell, segundo a descrição técnica.
Impacto e alcance
Embora a publicação não traga contagens de vítimas ou explorações em liberdade, a técnica demonstra um vetor relevante contra arquiteturas de EDR que dependem fortemente de conectividade em nuvem. Ao interromper a telemetria e o canal de comando e controle entre agente e serviços na nuvem, a ferramenta reduz a capacidade de resposta remota do fornecedor e a troca de inteligência em tempo real.
O autor classifica o uso como destinado a ambientes de teste autorizados (red-team, análise de malware controlada) e aponta que a implementação procura minimizar vestígios persistentes quando não configurada para persistência.
Mitigações e recomendações do autor
Framiñán recomenda aos defensores monitorar alterações na WFP e projetar arquiteturas de EDR com maior resiliência, incluindo caches locais de regras/assinaturas que permitam continuidade de proteção mesmo sem conexão com a nuvem. Estas recomendações constam na publicação e no repositório do projeto.
Limites das informações
As fontes não indicam exploração ativa em ataques reais, números de sistemas afetados nem relatos de incidentes ligados à ferramenta. Também não há atribuição de uso malicioso nem indicadores de campanha. Onde houver divergência entre detalhes técnicos em diferentes seções do repositório, as fontes não uniformizam números além dos nomes das APIs e IDs de eventos citados.
Repercussão e próximos passos
A divulgação deve estimular discussões sobre dependência de telemetria remota em soluções EDR e possivelmente levar fornecedores a revisar mecanismos de resiliência. O código aberto permite que equipes de segurança reproduzam e testem cenários, mas, conforme o autor, seu uso deve ser sempre autorizado e circunscrito a ambientes de teste. Não há menção a implicações regulatórias específicas (por exemplo, LGPD) na publicação.
Fonte: Cyber Security News e repositório loosehose/SilentButDeadly (GitHub)
Resumo técnico: a ferramenta opera sobre WFP (FWPM_*) aplicando filtros por AppID e processo, usa APIs Windows documentadas e traz opções para limpeza automática via sessão dinâmica; requer privilégios de administrador e gera artefatos passíveis de auditoria em logs da WFP e configurações de serviço.