Хакер, известен като Spyboy, рекламира инструмент, наречен „Терминатор“, в рускоезичен хакерски форум, за който се твърди, че може да прекрати работата на всяка антивирусна, XDR и EDR платформа. От CrowdStrike обаче твърдят, че това е просто фантастична атака от типа Bring Your Own Vulnerable Driver (BYOVD).
Твърди се, че Terminator е способен да заобикаля 24 различни антивирусни (AV), Endpoint Detection and Response (EDR) и Extended Detection and Response (XDR) решения за сигурност, включително Windows Defender, на устройства с Windows 7 и по-нови версии,
Spyboy продава софтуера на цени, вариращи от 300 USD за единично заобикаляне до 3000 USD за цялостно заобикаляне.
„Следните EDR не могат да се продават самостоятелно: SentinelOne, Sophos, CrowdStrike, Carbon Black, Cortex, Cylance“, казва хакерът с уговорката, че „Ransomware и локери не са разрешени и не нося отговорност за такива действия“.
За да използват Terminator, „клиентите“ изискват административни привилегии в целевите системи Windows и трябва да подмамят потребителя да приеме изскачащ прозорец на User Account Controls (UAC), който ще се покаже при стартирането на инструмента.
Въпреки това, както разкрива инженер на CrowdStrike в публикация в Reddit, Terminator просто пуска легитимния, подписан драйвер на ядрото на Zemana за борба с малуера, наречен zamguard64.sys или zam64.sys, в папката C:\Windows\System32\ със случайно име между 4 и 10 символа.
След като зловредният драйвер бъде записан на диска, Terminator го зарежда, за да използва привилегиите му на ниво ядро, за да убие процесите в потребителски режим на AV и EDR софтуера, работещ на устройството.
Въпреки че не е ясно как програмата Terminator взаимодейства с драйвера, през 2021 г. беше публикуван PoC експлойт, който използва недостатъци в драйвера, за да изпълнява команди с привилегии на ядрото на Windows, които могат да се използват за прекратяване на нормално защитени процеси на софтуера за сигурност.
Според сканирането на VirusTotal този драйвер се открива само от една сканираща машина за борба със зловреден софтуер като уязвим драйвер в момента.
За щастие ръководителят на отдела за изследвания на Nextron Systems Флориан Рот и изследователят на заплахи Насреддин Бенчерчали вече са споделили правила YARA и Sigma (по хеш и по име), които могат да помогнат на защитниците да открият уязвимия драйвер, използван от инструмента Terminator.
Тази техника е широко разпространена сред заплахите, които обичат да инсталират уязвими драйвери на Windows, след като увеличат привилегиите си, за да заобиколят софтуера за сигурност, работещ на компрометираните машини, да изпълняват зловреден код и да доставят допълнителни зловредни товари.
При атаките Bring Your Own Vulnerable Driver (BYOVD), както са известни, на устройствата на жертвите се пускат легитимни драйвери, подписани с валидни сертификати и способни да работят с привилегии на ядрото, за да се деактивират решенията за сигурност и да се завладее системата.
Години наред широк кръг от групи за заплахи използват тази техника, като се започне от финансово мотивирани банди за изнудване и се стигне до подкрепяни от държавата хакерски организации.
Неотдавна изследователи по сигурността от Sophos X-Ops забелязаха нов хакерски инструмент, наречен AuKill, който се използва в дивата природа за деактивиране на софтуера EDR с помощта на уязвим драйвер на Process Explorer, преди да се разгърне ransomware при BYOVD атаки.
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.