Антивирусният убиец Терминатор е прикрит уязвим драйвер на Windows

Хакер, известен като Spyboy, рекламира инструмент, наречен „Терминатор“, в рускоезичен хакерски форум, за който се твърди, че може да прекрати работата на всяка антивирусна, XDR и EDR платформа. От CrowdStrike обаче твърдят, че това е просто фантастична атака от типа Bring Your Own Vulnerable Driver (BYOVD).

Твърди се, че Terminator е способен да заобикаля 24 различни антивирусни (AV), Endpoint Detection and Response (EDR) и Extended Detection and Response (XDR) решения за сигурност, включително Windows Defender, на устройства с Windows 7 и по-нови версии,

Spyboy продава софтуера на цени, вариращи от 300 USD за единично заобикаляне до 3000 USD за цялостно заобикаляне.

„Следните EDR не могат да се продават самостоятелно: SentinelOne, Sophos, CrowdStrike, Carbon Black, Cortex, Cylance“, казва хакерът с уговорката, че „Ransomware и локери не са разрешени и не нося отговорност за такива действия“.

За да използват Terminator, „клиентите“ изискват административни привилегии в целевите системи Windows и трябва да подмамят потребителя да приеме изскачащ прозорец на User Account Controls (UAC), който ще се покаже при стартирането на инструмента.

Въпреки това, както разкрива инженер на CrowdStrike в публикация в Reddit, Terminator просто пуска легитимния, подписан драйвер на ядрото на Zemana за борба с малуера, наречен zamguard64.sys или zam64.sys, в папката C:\Windows\System32\ със случайно име между 4 и 10 символа.

След като зловредният драйвер бъде записан на диска, Terminator го зарежда, за да използва привилегиите му на ниво ядро, за да убие процесите в потребителски режим на AV и EDR софтуера, работещ на устройството.

Въпреки че не е ясно как програмата Terminator взаимодейства с драйвера, през 2021 г. беше публикуван PoC експлойт, който използва недостатъци в драйвера, за да изпълнява команди с привилегии на ядрото на Windows, които могат да се използват за прекратяване на нормално защитени процеси на софтуера за сигурност.

Според сканирането на VirusTotal този драйвер се открива само от една сканираща машина за борба със зловреден софтуер като уязвим драйвер в момента.

За щастие ръководителят на отдела за изследвания на Nextron Systems Флориан Рот и изследователят на заплахи Насреддин Бенчерчали вече са споделили правила YARA и Sigma (по хеш и по име), които могат да помогнат на защитниците да открият уязвимия драйвер, използван от инструмента Terminator.

Тази техника е широко разпространена сред  заплахите, които обичат да инсталират уязвими драйвери на Windows, след като увеличат привилегиите си, за да заобиколят софтуера за сигурност, работещ на компрометираните машини, да изпълняват зловреден код и да доставят допълнителни зловредни товари.

При атаките Bring Your Own Vulnerable Driver (BYOVD), както са известни, на устройствата на жертвите се пускат легитимни драйвери, подписани с валидни сертификати и способни да работят с привилегии на ядрото, за да се деактивират решенията за сигурност и да се завладее системата.

Години наред широк кръг от групи за заплахи използват тази техника, като се започне от финансово мотивирани банди за изнудване и се стигне до подкрепяни от държавата хакерски организации.

Неотдавна изследователи по сигурността от Sophos X-Ops забелязаха нов хакерски инструмент, наречен AuKill, който се използва в дивата природа за деактивиране на софтуера EDR с помощта на уязвим драйвер на Process Explorer, преди да се разгърне ransomware при BYOVD атаки.

Източник: По материали от Интернет

Подобни публикации

4 октомври 2023

Моделите на PyTorch са уязвими за изпълнение на...

Изследователи в областта на киберсигурността са разкрили множество ...
4 октомври 2023

Qualcomm издава кръпка за 3 нови нулеви дни

Производителят на чипове Qualcomm пусна актуализации за сигурност, ...
4 октомври 2023

Над 3 дузини зловредни пакети npm са насочени к...

Според констатации на Fortinet FortiGuard Labs в хранилището за пак...
4 октомври 2023

Милиони мейл сървъри на Exim са изложени на zer...

Критична уязвимост от типа „нулев ден“ във всички верси...
3 октомври 2023

Cyber Security Talks Bulgaria – ОКТОМВРИ 2023

На 10.10.2023 г. във Висшето военноморско училище в гр. Варна ще се...
3 октомври 2023

ФБР предупреждава за ръст на измамите с "фантом...

ФБР публикува съобщение за обществена услуга, в което предупреждава...
Бъдете социални
Още по темата
04/10/2023

Милиони мейл сървъри на Exi...

Критична уязвимост от типа „нулев ден“...
02/10/2023

Arm предупреждава за недост...

В днешна консултация по сигурността Arm...
01/10/2023

Нова атака на Marvin съживя...

Недостатък, свързан с подложката PKCS #1...
Последно добавени
04/10/2023

Моделите на PyTorch са уязв...

Изследователи в областта на киберсигурността са...
04/10/2023

Qualcomm издава кръпка за 3...

Производителят на чипове Qualcomm пусна актуализации...
04/10/2023

Над 3 дузини зловредни паке...

Според констатации на Fortinet FortiGuard Labs...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!