Търсене
Close this search box.

Хакер, известен като Spyboy, рекламира инструмент, наречен „Терминатор“, в рускоезичен хакерски форум, за който се твърди, че може да прекрати работата на всяка антивирусна, XDR и EDR платформа. От CrowdStrike обаче твърдят, че това е просто фантастична атака от типа Bring Your Own Vulnerable Driver (BYOVD).

Твърди се, че Terminator е способен да заобикаля 24 различни антивирусни (AV), Endpoint Detection and Response (EDR) и Extended Detection and Response (XDR) решения за сигурност, включително Windows Defender, на устройства с Windows 7 и по-нови версии,

Spyboy продава софтуера на цени, вариращи от 300 USD за единично заобикаляне до 3000 USD за цялостно заобикаляне.

„Следните EDR не могат да се продават самостоятелно: SentinelOne, Sophos, CrowdStrike, Carbon Black, Cortex, Cylance“, казва хакерът с уговорката, че „Ransomware и локери не са разрешени и не нося отговорност за такива действия“.

За да използват Terminator, „клиентите“ изискват административни привилегии в целевите системи Windows и трябва да подмамят потребителя да приеме изскачащ прозорец на User Account Controls (UAC), който ще се покаже при стартирането на инструмента.

Въпреки това, както разкрива инженер на CrowdStrike в публикация в Reddit, Terminator просто пуска легитимния, подписан драйвер на ядрото на Zemana за борба с малуера, наречен zamguard64.sys или zam64.sys, в папката C:\Windows\System32\ със случайно име между 4 и 10 символа.

След като зловредният драйвер бъде записан на диска, Terminator го зарежда, за да използва привилегиите му на ниво ядро, за да убие процесите в потребителски режим на AV и EDR софтуера, работещ на устройството.

Въпреки че не е ясно как програмата Terminator взаимодейства с драйвера, през 2021 г. беше публикуван PoC експлойт, който използва недостатъци в драйвера, за да изпълнява команди с привилегии на ядрото на Windows, които могат да се използват за прекратяване на нормално защитени процеси на софтуера за сигурност.

Според сканирането на VirusTotal този драйвер се открива само от една сканираща машина за борба със зловреден софтуер като уязвим драйвер в момента.

За щастие ръководителят на отдела за изследвания на Nextron Systems Флориан Рот и изследователят на заплахи Насреддин Бенчерчали вече са споделили правила YARA и Sigma (по хеш и по име), които могат да помогнат на защитниците да открият уязвимия драйвер, използван от инструмента Terminator.

Тази техника е широко разпространена сред  заплахите, които обичат да инсталират уязвими драйвери на Windows, след като увеличат привилегиите си, за да заобиколят софтуера за сигурност, работещ на компрометираните машини, да изпълняват зловреден код и да доставят допълнителни зловредни товари.

При атаките Bring Your Own Vulnerable Driver (BYOVD), както са известни, на устройствата на жертвите се пускат легитимни драйвери, подписани с валидни сертификати и способни да работят с привилегии на ядрото, за да се деактивират решенията за сигурност и да се завладее системата.

Години наред широк кръг от групи за заплахи използват тази техника, като се започне от финансово мотивирани банди за изнудване и се стигне до подкрепяни от държавата хакерски организации.

Неотдавна изследователи по сигурността от Sophos X-Ops забелязаха нов хакерски инструмент, наречен AuKill, който се използва в дивата природа за деактивиране на софтуера EDR с помощта на уязвим драйвер на Process Explorer, преди да се разгърне ransomware при BYOVD атаки.

Източник: По материали от Интернет

Подобни публикации

3 ноември 2024

Използван е бъг RCE в Microsoft SharePoint за п...

Наскоро разкритата уязвимост на Microsoft SharePoint за отдалечено ...
3 ноември 2024

Обходен път поправя замръзване при копиране на...

Microsoft разследва известен проблем, който засяга клиентите на Mic...
3 ноември 2024

Рансъмуерът Cactus удря HACLA

Жилищната администрация на град Лос Анджелис (HACLA), един от най-г...
3 ноември 2024

Пазарът на труда в киберсигурността стагнира

Проучването на ISC2 за работната сила в областта на киберсигурностт...
2 ноември 2024

Новото разширение за Chrome ChatGPT Search прил...

Новото разширение за Chrome на OpenAI „ChatGPT search“ не прилича н...
2 ноември 2024

Потребителите на Azure Virtual Desktop с пробле...

Microsoft предупреди клиентите, че може да се появят до 30 минути ч...
1 ноември 2024

САЩ и Израел описват методите на иранските хакери

Тази седмица Съединените щати и Израел публикуваха консултативен до...
Бъдете социални
Още по темата
03/11/2024

Пазарът на труда в киберсиг...

Проучването на ISC2 за работната сила...
01/11/2024

Умножаване на крайните точк...

Неотдавна милиони автомобили Kia бяха засегнати...
01/11/2024

Тенденцията за репатриране ...

IDC предупреди, че нарастващата тенденция за...
Последно добавени
03/11/2024

Използван е бъг RCE в Micro...

Наскоро разкритата уязвимост на Microsoft SharePoint...
03/11/2024

Обходен път поправя замръз...

Microsoft разследва известен проблем, който засяга...
03/11/2024

Рансъмуерът Cactus удря HACLA

Жилищната администрация на град Лос Анджелис...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!