Хакери използват AuKill Tool, за да деактивират EDR софтуер чрез BYOVD атака

Хакерите използват недокументиран досега „инструмент за избягване на защитата“, наречен AuKill, който е предназначен да деактивира софтуера за откриване и реагиране на крайни точки (EDR) чрез атака Bring Your Own Vulnerable Driver (BYOVD).

„Инструментът AuKill злоупотребява с остаряла версия на драйвера, използван от версия 16.32 на обслужващата програма на Microsoft, Process Explorer, за да деактивира EDR процесите, преди да разположи backdoor или ransomware на целевата система“, заяви изследователят на Sophos Андреас Клопш в доклад, публикуван миналата седмица.

Инцидентите, анализирани от фирмата за киберсигурност, показват използването на AuKill от началото на 2023 г. за разгръщане на различни щамове на рансъмуер като Medusa Locker и LockBit. До момента са идентифицирани шест различни версии на злонамерения софтуер. Най-старият образец на AuKill се отличава с времеви печат на компилацията от ноември 2022 г.

Техниката BYOVD разчита на това, че извършителите злоупотребяват с легитимен, но остарял и използваем драйвер, подписан от Microsoft (или използват откраднат или изтекъл сертификат), за да получат повишени привилегии и да изключат механизмите за сигурност.

Чрез използването на валидни, уязвими драйвери идеята е да се заобиколи ключова предпазна мярка на Windows, известна като Driver Signature Enforcement, която гарантира, че драйверите в режим на ядрото са подписани от валиден орган за подписване на код, преди да им бъде разрешено да работят.

„Инструментът AuKill изисква административни привилегии, за да работи, но не може да даде тези привилегии на нападателя“, отбелязва Клопш. „Заплахите, използващи AuKill, са се възползвали от съществуващите привилегии по време на атаките, когато са ги придобили по друг начин.“

Това не е първият случай, когато подписаният от Microsoft драйвер на Process Explorer е използван като оръжие в атаки. През ноември 2022 г. Sophos също така подробно описа използването от филиалите на LockBit на инструмент с отворен код, наречен Backstab, който злоупотребява с остарели версии на драйвера, за да прекратява защитени процеси за борба с малуера.

След това, по-рано тази година, беше забелязана кампания за злонамерена реклама, използваща същия драйвер като част от инфекциозна верига, разпространяваща .NET зареждач, наречен MalVirt, за разгръщане на зловредния софтуер FormBook, крадящ информация.

Развитието на ситуацията идва в момент, когато Центърът за реагиране при извънредни ситуации в областта на сигурността AhnLab (ASEC) разкри, че лошо управлявани MS-SQL сървъри се използват като оръжие за инсталиране на рансъмуера Trigona, който има общи припокривания с друг щам, наречен CryLock.

Той следва и констатациите, че участниците в рансъмуера Play (известен още като PlayCrypt) са наблюдавани да използват персонализирани инструменти за събиране на данни, които позволяват да се изброят всички потребители и компютри в компрометираната мрежа и да се копират файлове от услугата Volume Shadow Copy Service (VSS).

Grixba, базиран на .NET крадец на информация, е проектиран да сканира машината за програми за сигурност, софтуер за архивиране и инструменти за отдалечено администриране и да ексфилтрира събраните данни под формата на CSV файлове, които след това се компресират в ZIP архиви.

Използван от киберпрестъпната банда, проследена от Symantec като Balloonfly, е и инструмент за копиране на VSS, написан на .NET, който използва рамката AlphaVSS за изготвяне на списък на файловете и папките в моментната снимка на VSS и за копирането им в директорията на местоназначението преди криптиране.

Рансъмуерът Play се отличава не само с това, че използва периодично криптиране, за да ускори процеса, но и с факта, че не работи по модела „откупващ софтуер като услуга“ (RaaS). Събраните до момента доказателства сочат, че Balloonfly извършва атаките с откуп, както и че сами разработват зловредния софтуер.

Grixba и VSS Copying Tool са последните в дългия списък от собствени инструменти като Exmatter, Exbyte и скриптове, базирани на PowerShell, които се използват от замесените в ransomware, за да установят по-голям контрол върху операциите си, като същевременно добавят допълнителни слоеве на сложност, за да се запазят в компрометирани среди и да избегнат откриване.

Друга техника, все по-често възприемана от финансово мотивирани групи, е използването на езика за програмиране Go за разработване на междуплатформен зловреден софтуер и устояване на усилията за анализ и обратно инженерство.

Всъщност в доклад на Cyble от миналата седмица е документиран нов GoLang ransomware, наречен CrossLock, който използва техниката на двойното изнудване, за да увеличи вероятността за плащане от жертвите си, наред с предприемането на стъпки за заобикаляне на проследяването на събитията за Windows (ETW).

„Тази функционалност може да даде възможност на зловредния софтуер да избегне откриването от системите за сигурност, които зависят от дневниците за събития“, казва Cyble. „CrossLock Ransomware също така извършва няколко действия, за да намали шансовете за възстановяване на данни, като същевременно увеличава ефективността на атаката.“

 

 

Източник: The Hacker News

Подобни публикации

1 юни 2023

Подробности за Migraine - уязвимост на Apple macOS

Microsoft сподели подробности за вече поправен недостатък в Apple m...

Лов на заплахи в шест стъпки

Откриването на  заплахите, преди те да са ви открили, е от ключово ...
31 май 2023

Уязвимостта в Barracuda е използвана минимум 7 ...

Фирмата за корпоративна сигурност Barracuda разкри във вторник, че ...

Как да избегнете прегарянето в екипа си по кибе...

Въпреки че кибератаките се увеличават през последните години, една ...
30 май 2023

Бели хакери спечелиха 105 000 долара от Sonos One

Няколко недостатъка в сигурността, открити в безжичните високоговор...

Идва ли Windows 12?

Голямата актуализация на Windows 11 за края на тази година, известн...
30 май 2023

Нов хакерски форум пусна данните на 478 000 чле...

База данни за известния хакерски форум RaidForums е изтекла в интер...
Бъдете социални
Още по темата
27/05/2023

С летния сезон фишинг и BEC...

Фишинг кампаниите, насочени към пътуващи, се...
25/05/2023

Справяне с недостига на тал...

  Нуждата от квалифициран персонал за...
22/05/2023

Платформата, която поддържа...

Години наред зловредна платформа се използва...
Последно добавени
01/06/2023

Подробности за Migraine - у...

Microsoft сподели подробности за вече поправен...
01/06/2023

Лов на заплахи в шест стъпки

Откриването на  заплахите, преди те да...
31/05/2023

Уязвимостта в Barracuda е и...

Фирмата за корпоративна сигурност Barracuda разкри...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!