Хакерите използват недокументиран досега „инструмент за избягване на защитата“, наречен AuKill, който е предназначен да деактивира софтуера за откриване и реагиране на крайни точки (EDR) чрез атака Bring Your Own Vulnerable Driver (BYOVD).

„Инструментът AuKill злоупотребява с остаряла версия на драйвера, използван от версия 16.32 на обслужващата програма на Microsoft, Process Explorer, за да деактивира EDR процесите, преди да разположи backdoor или ransomware на целевата система“, заяви изследователят на Sophos Андреас Клопш в доклад, публикуван миналата седмица.

Инцидентите, анализирани от фирмата за киберсигурност, показват използването на AuKill от началото на 2023 г. за разгръщане на различни щамове на рансъмуер като Medusa Locker и LockBit. До момента са идентифицирани шест различни версии на злонамерения софтуер. Най-старият образец на AuKill се отличава с времеви печат на компилацията от ноември 2022 г.

Техниката BYOVD разчита на това, че извършителите злоупотребяват с легитимен, но остарял и използваем драйвер, подписан от Microsoft (или използват откраднат или изтекъл сертификат), за да получат повишени привилегии и да изключат механизмите за сигурност.

Чрез използването на валидни, уязвими драйвери идеята е да се заобиколи ключова предпазна мярка на Windows, известна като Driver Signature Enforcement, която гарантира, че драйверите в режим на ядрото са подписани от валиден орган за подписване на код, преди да им бъде разрешено да работят.

„Инструментът AuKill изисква административни привилегии, за да работи, но не може да даде тези привилегии на нападателя“, отбелязва Клопш. „Заплахите, използващи AuKill, са се възползвали от съществуващите привилегии по време на атаките, когато са ги придобили по друг начин.“

Това не е първият случай, когато подписаният от Microsoft драйвер на Process Explorer е използван като оръжие в атаки. През ноември 2022 г. Sophos също така подробно описа използването от филиалите на LockBit на инструмент с отворен код, наречен Backstab, който злоупотребява с остарели версии на драйвера, за да прекратява защитени процеси за борба с малуера.

След това, по-рано тази година, беше забелязана кампания за злонамерена реклама, използваща същия драйвер като част от инфекциозна верига, разпространяваща .NET зареждач, наречен MalVirt, за разгръщане на зловредния софтуер FormBook, крадящ информация.

Развитието на ситуацията идва в момент, когато Центърът за реагиране при извънредни ситуации в областта на сигурността AhnLab (ASEC) разкри, че лошо управлявани MS-SQL сървъри се използват като оръжие за инсталиране на рансъмуера Trigona, който има общи припокривания с друг щам, наречен CryLock.

Той следва и констатациите, че участниците в рансъмуера Play (известен още като PlayCrypt) са наблюдавани да използват персонализирани инструменти за събиране на данни, които позволяват да се изброят всички потребители и компютри в компрометираната мрежа и да се копират файлове от услугата Volume Shadow Copy Service (VSS).

Grixba, базиран на .NET крадец на информация, е проектиран да сканира машината за програми за сигурност, софтуер за архивиране и инструменти за отдалечено администриране и да ексфилтрира събраните данни под формата на CSV файлове, които след това се компресират в ZIP архиви.

Използван от киберпрестъпната банда, проследена от Symantec като Balloonfly, е и инструмент за копиране на VSS, написан на .NET, който използва рамката AlphaVSS за изготвяне на списък на файловете и папките в моментната снимка на VSS и за копирането им в директорията на местоназначението преди криптиране.

Рансъмуерът Play се отличава не само с това, че използва периодично криптиране, за да ускори процеса, но и с факта, че не работи по модела „откупващ софтуер като услуга“ (RaaS). Събраните до момента доказателства сочат, че Balloonfly извършва атаките с откуп, както и че сами разработват зловредния софтуер.

Grixba и VSS Copying Tool са последните в дългия списък от собствени инструменти като Exmatter, Exbyte и скриптове, базирани на PowerShell, които се използват от замесените в ransomware, за да установят по-голям контрол върху операциите си, като същевременно добавят допълнителни слоеве на сложност, за да се запазят в компрометирани среди и да избегнат откриване.

Друга техника, все по-често възприемана от финансово мотивирани групи, е използването на езика за програмиране Go за разработване на междуплатформен зловреден софтуер и устояване на усилията за анализ и обратно инженерство.

Всъщност в доклад на Cyble от миналата седмица е документиран нов GoLang ransomware, наречен CrossLock, който използва техниката на двойното изнудване, за да увеличи вероятността за плащане от жертвите си, наред с предприемането на стъпки за заобикаляне на проследяването на събитията за Windows (ETW).

„Тази функционалност може да даде възможност на зловредния софтуер да избегне откриването от системите за сигурност, които зависят от дневниците за събития“, казва Cyble. „CrossLock Ransomware също така извършва няколко действия, за да намали шансовете за възстановяване на данни, като същевременно увеличава ефективността на атаката.“

 

 

Източник: The Hacker News

Подобни публикации

18 февруари 2025

Infostealer е открит в американски военни и отб...

Израелската фирма за киберсигурност Hudson Rock твърди, че в америк...
18 февруари 2025

Десетки италиански уебсайтове са обект на руски...

По данни на италианската национална агенция за киберсигурност ACN о...
18 февруари 2025

Киберпрестъпниците крадат мощта на ИИ, а вие пл...

Атакуващите използват големи езикови модели (LLM) в т.нар. експлойт...
18 февруари 2025

Cisco: Новите смарт суичове осигуряват следващо...

Cisco твърди, че новите интелигентни суичове и решения за защитна с...
17 февруари 2025

Японски художник излага оковано във верига куче...

Изложба в галерия в Токио, в която оковано във верига куче-робот се...
17 февруари 2025

Русия насочва организациите към фишинг с код на...

Свързана с Русия заплаха, проследена като Storm-2372, е насочена къ...
17 февруари 2025

Полицията конфискува 127 сървъра на непробиваем...

Дни след като няколко правителства обявиха санкции срещу услугата з...
17 февруари 2025

Изтеглянето на DeepSeek е спряно в Южна Корея

Китайският стартъп за изкуствен интелект DeepSeek временно е спрял ...
17 февруари 2025

Уязвимостите на Xerox Versalink позволяват стра...

Уязвимостите в многофункционалните принтери Xerox VersaLink могат д...
Бъдете социални
Още по темата
11/02/2025

120 хил. жертви са компроме...

В Бейнбридж, щата Джорджия, малката болница...
09/02/2025

Данни на 883 000 души са от...

Опустошителната кибератака, която извади от строя...
08/02/2025

Плащанията за рансъмуер нам...

Плащанията на рансъмуер, извършени през 2024...
Последно добавени
18/02/2025

Infostealer е открит в амер...

Израелската фирма за киберсигурност Hudson Rock...
18/02/2025

Десетки италиански уебсайто...

По данни на италианската национална агенция...
18/02/2025

Киберпрестъпниците крадат м...

Атакуващите използват големи езикови модели (LLM)...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!