Хакер, известен като Spyboy, рекламира инструмент, наречен „Терминатор“, в рускоезичен хакерски форум, за който се твърди, че може да прекрати работата на всяка антивирусна, XDR и EDR платформа. От CrowdStrike обаче твърдят, че това е просто фантастична атака от типа Bring Your Own Vulnerable Driver (BYOVD).

Твърди се, че Terminator е способен да заобикаля 24 различни антивирусни (AV), Endpoint Detection and Response (EDR) и Extended Detection and Response (XDR) решения за сигурност, включително Windows Defender, на устройства с Windows 7 и по-нови версии,

Spyboy продава софтуера на цени, вариращи от 300 USD за единично заобикаляне до 3000 USD за цялостно заобикаляне.

„Следните EDR не могат да се продават самостоятелно: SentinelOne, Sophos, CrowdStrike, Carbon Black, Cortex, Cylance“, казва хакерът с уговорката, че „Ransomware и локери не са разрешени и не нося отговорност за такива действия“.

За да използват Terminator, „клиентите“ изискват административни привилегии в целевите системи Windows и трябва да подмамят потребителя да приеме изскачащ прозорец на User Account Controls (UAC), който ще се покаже при стартирането на инструмента.

Въпреки това, както разкрива инженер на CrowdStrike в публикация в Reddit, Terminator просто пуска легитимния, подписан драйвер на ядрото на Zemana за борба с малуера, наречен zamguard64.sys или zam64.sys, в папката C:\Windows\System32\ със случайно име между 4 и 10 символа.

След като зловредният драйвер бъде записан на диска, Terminator го зарежда, за да използва привилегиите му на ниво ядро, за да убие процесите в потребителски режим на AV и EDR софтуера, работещ на устройството.

Въпреки че не е ясно как програмата Terminator взаимодейства с драйвера, през 2021 г. беше публикуван PoC експлойт, който използва недостатъци в драйвера, за да изпълнява команди с привилегии на ядрото на Windows, които могат да се използват за прекратяване на нормално защитени процеси на софтуера за сигурност.

Според сканирането на VirusTotal този драйвер се открива само от една сканираща машина за борба със зловреден софтуер като уязвим драйвер в момента.

За щастие ръководителят на отдела за изследвания на Nextron Systems Флориан Рот и изследователят на заплахи Насреддин Бенчерчали вече са споделили правила YARA и Sigma (по хеш и по име), които могат да помогнат на защитниците да открият уязвимия драйвер, използван от инструмента Terminator.

Тази техника е широко разпространена сред  заплахите, които обичат да инсталират уязвими драйвери на Windows, след като увеличат привилегиите си, за да заобиколят софтуера за сигурност, работещ на компрометираните машини, да изпълняват зловреден код и да доставят допълнителни зловредни товари.

При атаките Bring Your Own Vulnerable Driver (BYOVD), както са известни, на устройствата на жертвите се пускат легитимни драйвери, подписани с валидни сертификати и способни да работят с привилегии на ядрото, за да се деактивират решенията за сигурност и да се завладее системата.

Години наред широк кръг от групи за заплахи използват тази техника, като се започне от финансово мотивирани банди за изнудване и се стигне до подкрепяни от държавата хакерски организации.

Неотдавна изследователи по сигурността от Sophos X-Ops забелязаха нов хакерски инструмент, наречен AuKill, който се използва в дивата природа за деактивиране на софтуера EDR с помощта на уязвим драйвер на Process Explorer, преди да се разгърне ransomware при BYOVD атаки.