Търсене
Close this search box.

Хакери използват AuKill Tool, за да деактивират EDR софтуер чрез BYOVD атака

Хакерите използват недокументиран досега „инструмент за избягване на защитата“, наречен AuKill, който е предназначен да деактивира софтуера за откриване и реагиране на крайни точки (EDR) чрез атака Bring Your Own Vulnerable Driver (BYOVD).

„Инструментът AuKill злоупотребява с остаряла версия на драйвера, използван от версия 16.32 на обслужващата програма на Microsoft, Process Explorer, за да деактивира EDR процесите, преди да разположи backdoor или ransomware на целевата система“, заяви изследователят на Sophos Андреас Клопш в доклад, публикуван миналата седмица.

Инцидентите, анализирани от фирмата за киберсигурност, показват използването на AuKill от началото на 2023 г. за разгръщане на различни щамове на рансъмуер като Medusa Locker и LockBit. До момента са идентифицирани шест различни версии на злонамерения софтуер. Най-старият образец на AuKill се отличава с времеви печат на компилацията от ноември 2022 г.

Техниката BYOVD разчита на това, че извършителите злоупотребяват с легитимен, но остарял и използваем драйвер, подписан от Microsoft (или използват откраднат или изтекъл сертификат), за да получат повишени привилегии и да изключат механизмите за сигурност.

Чрез използването на валидни, уязвими драйвери идеята е да се заобиколи ключова предпазна мярка на Windows, известна като Driver Signature Enforcement, която гарантира, че драйверите в режим на ядрото са подписани от валиден орган за подписване на код, преди да им бъде разрешено да работят.

„Инструментът AuKill изисква административни привилегии, за да работи, но не може да даде тези привилегии на нападателя“, отбелязва Клопш. „Заплахите, използващи AuKill, са се възползвали от съществуващите привилегии по време на атаките, когато са ги придобили по друг начин.“

Това не е първият случай, когато подписаният от Microsoft драйвер на Process Explorer е използван като оръжие в атаки. През ноември 2022 г. Sophos също така подробно описа използването от филиалите на LockBit на инструмент с отворен код, наречен Backstab, който злоупотребява с остарели версии на драйвера, за да прекратява защитени процеси за борба с малуера.

След това, по-рано тази година, беше забелязана кампания за злонамерена реклама, използваща същия драйвер като част от инфекциозна верига, разпространяваща .NET зареждач, наречен MalVirt, за разгръщане на зловредния софтуер FormBook, крадящ информация.

Развитието на ситуацията идва в момент, когато Центърът за реагиране при извънредни ситуации в областта на сигурността AhnLab (ASEC) разкри, че лошо управлявани MS-SQL сървъри се използват като оръжие за инсталиране на рансъмуера Trigona, който има общи припокривания с друг щам, наречен CryLock.

Той следва и констатациите, че участниците в рансъмуера Play (известен още като PlayCrypt) са наблюдавани да използват персонализирани инструменти за събиране на данни, които позволяват да се изброят всички потребители и компютри в компрометираната мрежа и да се копират файлове от услугата Volume Shadow Copy Service (VSS).

Grixba, базиран на .NET крадец на информация, е проектиран да сканира машината за програми за сигурност, софтуер за архивиране и инструменти за отдалечено администриране и да ексфилтрира събраните данни под формата на CSV файлове, които след това се компресират в ZIP архиви.

Използван от киберпрестъпната банда, проследена от Symantec като Balloonfly, е и инструмент за копиране на VSS, написан на .NET, който използва рамката AlphaVSS за изготвяне на списък на файловете и папките в моментната снимка на VSS и за копирането им в директорията на местоназначението преди криптиране.

Рансъмуерът Play се отличава не само с това, че използва периодично криптиране, за да ускори процеса, но и с факта, че не работи по модела „откупващ софтуер като услуга“ (RaaS). Събраните до момента доказателства сочат, че Balloonfly извършва атаките с откуп, както и че сами разработват зловредния софтуер.

Grixba и VSS Copying Tool са последните в дългия списък от собствени инструменти като Exmatter, Exbyte и скриптове, базирани на PowerShell, които се използват от замесените в ransomware, за да установят по-голям контрол върху операциите си, като същевременно добавят допълнителни слоеве на сложност, за да се запазят в компрометирани среди и да избегнат откриване.

Друга техника, все по-често възприемана от финансово мотивирани групи, е използването на езика за програмиране Go за разработване на междуплатформен зловреден софтуер и устояване на усилията за анализ и обратно инженерство.

Всъщност в доклад на Cyble от миналата седмица е документиран нов GoLang ransomware, наречен CrossLock, който използва техниката на двойното изнудване, за да увеличи вероятността за плащане от жертвите си, наред с предприемането на стъпки за заобикаляне на проследяването на събитията за Windows (ETW).

„Тази функционалност може да даде възможност на зловредния софтуер да избегне откриването от системите за сигурност, които зависят от дневниците за събития“, казва Cyble. „CrossLock Ransomware също така извършва няколко действия, за да намали шансовете за възстановяване на данни, като същевременно увеличава ефективността на атаката.“

 

 

Източник: The Hacker News

Подобни публикации

28 февруари 2024

Китай стартира нов план за киберзащита на индус...

Тази седмица Министерството на промишлеността и информационните тех...
28 февруари 2024

Уязвимостта на плъгина WordPress LiteSpeed изла...

В плъгина LiteSpeed Cache за WordPress е разкрита уязвимост в сигур...
28 февруари 2024

Xeno RAT се превръща в мощна заплаха в GitHub

В GitHub е публикуван „сложно проектиран“ троянски кон ...
28 февруари 2024

Хакването на Optum е свързано с рансъмуера Blac...

Кибератаката срещу дъщерното дружество на UnitedHealth Group Optum,...
28 февруари 2024

Новата версия на IDAT loader използва стеганогр...

Хакерска група, проследена като „UAC-0184“, е забелязан...
28 февруари 2024

DOOM идва в интелигентните косачки Husqvarna

Ако някога сте искали да играете DOOM на косачка за трева, скоро ще...
28 февруари 2024

Белият дом призовава да се премине към езици за...

Службата на националния кибердиректор на Белия дом (ONCD) призова д...
Бъдете социални
Още по темата
28/02/2024

Хакването на Optum е свърза...

Кибератаката срещу дъщерното дружество на UnitedHealth...
28/02/2024

Предимства на включването н...

Кибератаките се развиват и стават все...
26/02/2024

Малави спря издаването на п...

Съобщава се, че правителството на Малави...
Последно добавени
28/02/2024

Китай стартира нов план за ...

Тази седмица Министерството на промишлеността и...
28/02/2024

Уязвимостта на плъгина Word...

В плъгина LiteSpeed Cache за WordPress...
28/02/2024

Xeno RAT се превръща в мощ...

В GitHub е публикуван „сложно проектиран“...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!