Търсене
Close this search box.

Антивирусният убиец Терминатор е прикрит уязвим драйвер на Windows

Хакер, известен като Spyboy, рекламира инструмент, наречен „Терминатор“, в рускоезичен хакерски форум, за който се твърди, че може да прекрати работата на всяка антивирусна, XDR и EDR платформа. От CrowdStrike обаче твърдят, че това е просто фантастична атака от типа Bring Your Own Vulnerable Driver (BYOVD).

Твърди се, че Terminator е способен да заобикаля 24 различни антивирусни (AV), Endpoint Detection and Response (EDR) и Extended Detection and Response (XDR) решения за сигурност, включително Windows Defender, на устройства с Windows 7 и по-нови версии,

Spyboy продава софтуера на цени, вариращи от 300 USD за единично заобикаляне до 3000 USD за цялостно заобикаляне.

„Следните EDR не могат да се продават самостоятелно: SentinelOne, Sophos, CrowdStrike, Carbon Black, Cortex, Cylance“, казва хакерът с уговорката, че „Ransomware и локери не са разрешени и не нося отговорност за такива действия“.

За да използват Terminator, „клиентите“ изискват административни привилегии в целевите системи Windows и трябва да подмамят потребителя да приеме изскачащ прозорец на User Account Controls (UAC), който ще се покаже при стартирането на инструмента.

Въпреки това, както разкрива инженер на CrowdStrike в публикация в Reddit, Terminator просто пуска легитимния, подписан драйвер на ядрото на Zemana за борба с малуера, наречен zamguard64.sys или zam64.sys, в папката C:\Windows\System32\ със случайно име между 4 и 10 символа.

След като зловредният драйвер бъде записан на диска, Terminator го зарежда, за да използва привилегиите му на ниво ядро, за да убие процесите в потребителски режим на AV и EDR софтуера, работещ на устройството.

Въпреки че не е ясно как програмата Terminator взаимодейства с драйвера, през 2021 г. беше публикуван PoC експлойт, който използва недостатъци в драйвера, за да изпълнява команди с привилегии на ядрото на Windows, които могат да се използват за прекратяване на нормално защитени процеси на софтуера за сигурност.

Според сканирането на VirusTotal този драйвер се открива само от една сканираща машина за борба със зловреден софтуер като уязвим драйвер в момента.

За щастие ръководителят на отдела за изследвания на Nextron Systems Флориан Рот и изследователят на заплахи Насреддин Бенчерчали вече са споделили правила YARA и Sigma (по хеш и по име), които могат да помогнат на защитниците да открият уязвимия драйвер, използван от инструмента Terminator.

Тази техника е широко разпространена сред  заплахите, които обичат да инсталират уязвими драйвери на Windows, след като увеличат привилегиите си, за да заобиколят софтуера за сигурност, работещ на компрометираните машини, да изпълняват зловреден код и да доставят допълнителни зловредни товари.

При атаките Bring Your Own Vulnerable Driver (BYOVD), както са известни, на устройствата на жертвите се пускат легитимни драйвери, подписани с валидни сертификати и способни да работят с привилегии на ядрото, за да се деактивират решенията за сигурност и да се завладее системата.

Години наред широк кръг от групи за заплахи използват тази техника, като се започне от финансово мотивирани банди за изнудване и се стигне до подкрепяни от държавата хакерски организации.

Неотдавна изследователи по сигурността от Sophos X-Ops забелязаха нов хакерски инструмент, наречен AuKill, който се използва в дивата природа за деактивиране на софтуера EDR с помощта на уязвим драйвер на Process Explorer, преди да се разгърне ransomware при BYOVD атаки.

Източник: По материали от Интернет

Подобни публикации

28 февруари 2024

Китай стартира нов план за киберзащита на индус...

Тази седмица Министерството на промишлеността и информационните тех...
28 февруари 2024

Уязвимостта на плъгина WordPress LiteSpeed изла...

В плъгина LiteSpeed Cache за WordPress е разкрита уязвимост в сигур...
28 февруари 2024

Xeno RAT се превръща в мощна заплаха в GitHub

В GitHub е публикуван „сложно проектиран“ троянски кон ...
28 февруари 2024

Хакването на Optum е свързано с рансъмуера Blac...

Кибератаката срещу дъщерното дружество на UnitedHealth Group Optum,...
28 февруари 2024

Новата версия на IDAT loader използва стеганогр...

Хакерска група, проследена като „UAC-0184“, е забелязан...
28 февруари 2024

DOOM идва в интелигентните косачки Husqvarna

Ако някога сте искали да играете DOOM на косачка за трева, скоро ще...
28 февруари 2024

Белият дом призовава да се премине към езици за...

Службата на националния кибердиректор на Белия дом (ONCD) призова д...
Бъдете социални
Още по темата
27/02/2024

САЩ и НАТО: Руските хакери ...

Членовете на разузнавателния алианс „Пет очи“...
24/02/2024

Ефективното реагиране при и...

Според изследователски доклад на Dark Reading...
23/02/2024

Новата ера в хактивизма

През последните две години наблюдаваме значително...
Последно добавени
28/02/2024

Китай стартира нов план за ...

Тази седмица Министерството на промишлеността и...
28/02/2024

Уязвимостта на плъгина Word...

В плъгина LiteSpeed Cache за WordPress...
28/02/2024

Xeno RAT се превръща в мощ...

В GitHub е публикуван „сложно проектиран“...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!