Хакерите използват недокументиран досега „инструмент за избягване на защитата“, наречен AuKill, който е предназначен да деактивира софтуера за откриване и реагиране на крайни точки (EDR) чрез атака Bring Your Own Vulnerable Driver (BYOVD).

„Инструментът AuKill злоупотребява с остаряла версия на драйвера, използван от версия 16.32 на обслужващата програма на Microsoft, Process Explorer, за да деактивира EDR процесите, преди да разположи backdoor или ransomware на целевата система“, заяви изследователят на Sophos Андреас Клопш в доклад, публикуван миналата седмица.

Инцидентите, анализирани от фирмата за киберсигурност, показват използването на AuKill от началото на 2023 г. за разгръщане на различни щамове на рансъмуер като Medusa Locker и LockBit. До момента са идентифицирани шест различни версии на злонамерения софтуер. Най-старият образец на AuKill се отличава с времеви печат на компилацията от ноември 2022 г.

Техниката BYOVD разчита на това, че извършителите злоупотребяват с легитимен, но остарял и използваем драйвер, подписан от Microsoft (или използват откраднат или изтекъл сертификат), за да получат повишени привилегии и да изключат механизмите за сигурност.

Чрез използването на валидни, уязвими драйвери идеята е да се заобиколи ключова предпазна мярка на Windows, известна като Driver Signature Enforcement, която гарантира, че драйверите в режим на ядрото са подписани от валиден орган за подписване на код, преди да им бъде разрешено да работят.

„Инструментът AuKill изисква административни привилегии, за да работи, но не може да даде тези привилегии на нападателя“, отбелязва Клопш. „Заплахите, използващи AuKill, са се възползвали от съществуващите привилегии по време на атаките, когато са ги придобили по друг начин.“

Това не е първият случай, когато подписаният от Microsoft драйвер на Process Explorer е използван като оръжие в атаки. През ноември 2022 г. Sophos също така подробно описа използването от филиалите на LockBit на инструмент с отворен код, наречен Backstab, който злоупотребява с остарели версии на драйвера, за да прекратява защитени процеси за борба с малуера.

След това, по-рано тази година, беше забелязана кампания за злонамерена реклама, използваща същия драйвер като част от инфекциозна верига, разпространяваща .NET зареждач, наречен MalVirt, за разгръщане на зловредния софтуер FormBook, крадящ информация.

Развитието на ситуацията идва в момент, когато Центърът за реагиране при извънредни ситуации в областта на сигурността AhnLab (ASEC) разкри, че лошо управлявани MS-SQL сървъри се използват като оръжие за инсталиране на рансъмуера Trigona, който има общи припокривания с друг щам, наречен CryLock.

Той следва и констатациите, че участниците в рансъмуера Play (известен още като PlayCrypt) са наблюдавани да използват персонализирани инструменти за събиране на данни, които позволяват да се изброят всички потребители и компютри в компрометираната мрежа и да се копират файлове от услугата Volume Shadow Copy Service (VSS).

Grixba, базиран на .NET крадец на информация, е проектиран да сканира машината за програми за сигурност, софтуер за архивиране и инструменти за отдалечено администриране и да ексфилтрира събраните данни под формата на CSV файлове, които след това се компресират в ZIP архиви.

Използван от киберпрестъпната банда, проследена от Symantec като Balloonfly, е и инструмент за копиране на VSS, написан на .NET, който използва рамката AlphaVSS за изготвяне на списък на файловете и папките в моментната снимка на VSS и за копирането им в директорията на местоназначението преди криптиране.

Рансъмуерът Play се отличава не само с това, че използва периодично криптиране, за да ускори процеса, но и с факта, че не работи по модела „откупващ софтуер като услуга“ (RaaS). Събраните до момента доказателства сочат, че Balloonfly извършва атаките с откуп, както и че сами разработват зловредния софтуер.

Grixba и VSS Copying Tool са последните в дългия списък от собствени инструменти като Exmatter, Exbyte и скриптове, базирани на PowerShell, които се използват от замесените в ransomware, за да установят по-голям контрол върху операциите си, като същевременно добавят допълнителни слоеве на сложност, за да се запазят в компрометирани среди и да избегнат откриване.

Друга техника, все по-често възприемана от финансово мотивирани групи, е използването на езика за програмиране Go за разработване на междуплатформен зловреден софтуер и устояване на усилията за анализ и обратно инженерство.

Всъщност в доклад на Cyble от миналата седмица е документиран нов GoLang ransomware, наречен CrossLock, който използва техниката на двойното изнудване, за да увеличи вероятността за плащане от жертвите си, наред с предприемането на стъпки за заобикаляне на проследяването на събитията за Windows (ETW).

„Тази функционалност може да даде възможност на зловредния софтуер да избегне откриването от системите за сигурност, които зависят от дневниците за събития“, казва Cyble. „CrossLock Ransomware също така извършва няколко действия, за да намали шансовете за възстановяване на данни, като същевременно увеличава ефективността на атаката.“