Хакерите използват недокументиран досега „инструмент за избягване на защитата“, наречен AuKill, който е предназначен да деактивира софтуера за откриване и реагиране на крайни точки (EDR) чрез атака Bring Your Own Vulnerable Driver (BYOVD).

„Инструментът AuKill злоупотребява с остаряла версия на драйвера, използван от версия 16.32 на обслужващата програма на Microsoft, Process Explorer, за да деактивира EDR процесите, преди да разположи backdoor или ransomware на целевата система“, заяви изследователят на Sophos Андреас Клопш в доклад, публикуван миналата седмица.

Инцидентите, анализирани от фирмата за киберсигурност, показват използването на AuKill от началото на 2023 г. за разгръщане на различни щамове на рансъмуер като Medusa Locker и LockBit. До момента са идентифицирани шест различни версии на злонамерения софтуер. Най-старият образец на AuKill се отличава с времеви печат на компилацията от ноември 2022 г.

Техниката BYOVD разчита на това, че извършителите злоупотребяват с легитимен, но остарял и използваем драйвер, подписан от Microsoft (или използват откраднат или изтекъл сертификат), за да получат повишени привилегии и да изключат механизмите за сигурност.

Чрез използването на валидни, уязвими драйвери идеята е да се заобиколи ключова предпазна мярка на Windows, известна като Driver Signature Enforcement, която гарантира, че драйверите в режим на ядрото са подписани от валиден орган за подписване на код, преди да им бъде разрешено да работят.

„Инструментът AuKill изисква административни привилегии, за да работи, но не може да даде тези привилегии на нападателя“, отбелязва Клопш. „Заплахите, използващи AuKill, са се възползвали от съществуващите привилегии по време на атаките, когато са ги придобили по друг начин.“

Това не е първият случай, когато подписаният от Microsoft драйвер на Process Explorer е използван като оръжие в атаки. През ноември 2022 г. Sophos също така подробно описа използването от филиалите на LockBit на инструмент с отворен код, наречен Backstab, който злоупотребява с остарели версии на драйвера, за да прекратява защитени процеси за борба с малуера.

След това, по-рано тази година, беше забелязана кампания за злонамерена реклама, използваща същия драйвер като част от инфекциозна верига, разпространяваща .NET зареждач, наречен MalVirt, за разгръщане на зловредния софтуер FormBook, крадящ информация.

Развитието на ситуацията идва в момент, когато Центърът за реагиране при извънредни ситуации в областта на сигурността AhnLab (ASEC) разкри, че лошо управлявани MS-SQL сървъри се използват като оръжие за инсталиране на рансъмуера Trigona, който има общи припокривания с друг щам, наречен CryLock.

Той следва и констатациите, че участниците в рансъмуера Play (известен още като PlayCrypt) са наблюдавани да използват персонализирани инструменти за събиране на данни, които позволяват да се изброят всички потребители и компютри в компрометираната мрежа и да се копират файлове от услугата Volume Shadow Copy Service (VSS).

Grixba, базиран на .NET крадец на информация, е проектиран да сканира машината за програми за сигурност, софтуер за архивиране и инструменти за отдалечено администриране и да ексфилтрира събраните данни под формата на CSV файлове, които след това се компресират в ZIP архиви.

Използван от киберпрестъпната банда, проследена от Symantec като Balloonfly, е и инструмент за копиране на VSS, написан на .NET, който използва рамката AlphaVSS за изготвяне на списък на файловете и папките в моментната снимка на VSS и за копирането им в директорията на местоназначението преди криптиране.

Рансъмуерът Play се отличава не само с това, че използва периодично криптиране, за да ускори процеса, но и с факта, че не работи по модела „откупващ софтуер като услуга“ (RaaS). Събраните до момента доказателства сочат, че Balloonfly извършва атаките с откуп, както и че сами разработват зловредния софтуер.

Grixba и VSS Copying Tool са последните в дългия списък от собствени инструменти като Exmatter, Exbyte и скриптове, базирани на PowerShell, които се използват от замесените в ransomware, за да установят по-голям контрол върху операциите си, като същевременно добавят допълнителни слоеве на сложност, за да се запазят в компрометирани среди и да избегнат откриване.

Друга техника, все по-често възприемана от финансово мотивирани групи, е използването на езика за програмиране Go за разработване на междуплатформен зловреден софтуер и устояване на усилията за анализ и обратно инженерство.

Всъщност в доклад на Cyble от миналата седмица е документиран нов GoLang ransomware, наречен CrossLock, който използва техниката на двойното изнудване, за да увеличи вероятността за плащане от жертвите си, наред с предприемането на стъпки за заобикаляне на проследяването на събитията за Windows (ETW).

„Тази функционалност може да даде възможност на зловредния софтуер да избегне откриването от системите за сигурност, които зависят от дневниците за събития“, казва Cyble. „CrossLock Ransomware също така извършва няколко действия, за да намали шансовете за възстановяване на данни, като същевременно увеличава ефективността на атаката.“

 

 

Източник: The Hacker News

Подобни публикации

15 юли 2025

Критични уязвимости в над 240 модела дънни плат...

Изследователи по фърмуерна сигурност алармираха, че десетки модели ...
15 юли 2025

Американски дипломати предупредени за ИИ фалшиф...

Държавният департамент на САЩ предупреди всички американски посолст...

Ще останат ли смартфоните в миналото?

С разширяването на възможностите на изкуствения интелект и стремежа...
14 юли 2025

Злонамерено разширение за Cursor AI IDE доведе ...

Фалшиво разширение за средата за разработка Cursor AI IDE, базирана...
14 юли 2025

Актуализация за Windows 10 нарушава функцията з...

След инсталиране на юлската актуализация KB5062554 за Windows 10, п...
14 юли 2025

Google Gemini податлив на скрити фишинг атаки ч...

Изследване, представено чрез програмата за уязвимости 0din на Mozil...

Защо традиционният HAZOP не е достатъчен

HAZOP (Hazard and Operability Study) е утвърден метод за идентифици...
Бъдете социални
Още по темата
11/07/2025

Руски баскетболист арестува...

Руският професионален баскетболист Даниил Касаткин бе...
10/07/2025

Ingram Micro започна поетап...

Ingram Micro, глобален дистрибутор на ИТ...
09/07/2025

M&S потвърди, че е жерт...

Marks & Spencer (M&S) потвърди, че...
Последно добавени
15/07/2025

Критични уязвимости в над 2...

Изследователи по фърмуерна сигурност алармираха, че...
15/07/2025

Американски дипломати преду...

Държавният департамент на САЩ предупреди всички...
15/07/2025

Ще останат ли смартфоните в...

С разширяването на възможностите на изкуствения...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!