Еволюцията на „EDR killer“ инструментите навлиза в нов етап със Shanya – услуга за киберпрестъпници, която елиминира защитите преди разгръщане на рансъмуер атаки.

На киберпрестъпния пазар се появи нов инструмент, който бързо се превръща в предпочитано средство за големите рансъмуер групи. Shanya, рекламиран като „VX Crypt“, представлява packer-as-a-service механизъм, който предоставя на атакуващите възможност да заобикалят, блокират или напълно унищожават EDR системите преди разгръщане на заряда.

Според анализ на Sophos, Shanya е пряк наследник на инструменти като HeartCrypt и поставя нов стандарт за прикриване, устойчивост и дефанзивно заобикаляне в рансъмуер екосистемата.

Какво представлява Shanya

Shanya е услуга, предлагана в рускоезични форуми от края на 2024 г., насочена към групи, които използват рансъмуер като Akira, Medusa и Qilin. Инструментът предоставя:

• уникални „stub“ файлове за всеки клиент,

• нестандартно зареждане на модули,

• заобикаляне на AMSI (Antimalware Scan Interface),

• устойчивост срещу sandbox анализ,

• защита на .NET асемблиран код в движение,

• възможност да работи под радара на защитните системи за продължителни периоди.

Тези възможности вече са доказани в реални инциденти, включително в множество атаки през 2025 г.

Механизъм на действие

1. DLL side-loading

Shanya използва класическа, но изключително ефикасна техника – странично зареждане на DLL файлове (DLL side-loading).

В анализираните атаки:

• за легитимен процес се използва consent.exe – компонент на User Account Control в Windows,

• в директорията му се поставя зловредна DLL с име като msimg32.dll,

• Windows я зарежда, вярвайки че е легитимна библиотека.

2. Bring Your Own Vulnerable Driver (BYOVD)

След като се изпълни, Shanya:

1. поставя легитимен, но уязвим драйвер (например ThrottleStop.sys),

2. добавя зловреден kernel драйвер,

3. използва уязвимия драйвер, за да получи kernel-level write access,

4. систематично прекратява процесите на антивируси и EDR решения.

Това включва продукти на всички големи вендори – дефанзивният слой на жертвата буквално се изключва.

3. Обфускация и скриване на конфигурацията

Зареждащият компонент е силно обфускиран:

• използва junk code и API hashing,

• крие конфигурацията си в PEB паметта,

• модифицира системни DLL файлове в паметта,

• зарежда втори екземпляр на shell32.dll, за да изпълни полезния товар незабелязано.

Техники като тези затрудняват както ръчния анализ, така и автоматичните защитни механизми.

Глобално разпространение

Sophos отчита наличие на Shanya образци по целия свят, като през 2025 г. инструментът е засечен:

• и в четирите географски полукълба,

• с концентрации в ОАЕ и части от Азия,

• в множество инциденти, предшестващи рансъмуер атаки.

Първата му документирана употреба е в атака на Medusa през април 2025 г., а по-късно става стандарт за групата Akira.

Реални атаки и последици

1. Рансъмуер вериги на атака

Shanya се използва основно като подготвителен етап преди масово криптиране. След елиминиране на защитата, рансъмуерът се изпълнява свободно и без риск да бъде спрян.

2. Кампанията „ClickFix“

През септември 2025 г. инструментът е свързан с кампания срещу хотелиерската индустрия:

• атакуващите изпращат фалшиви Booking.com страници,

• жертвата сваля компонента Shanya,

• впоследствие се внедрява бекдорът CastleRAT.

3. Разширяване на пазара за evasion инструменти

Shanya е част от по-широка тенденция – професионализиране на evasion услугите в криминалния пазар.

Това означава, че рансъмуер групите все по-рядко разработват собствени инструменти и по-често купуват готови платформи, които са устойчиви, анонимизирани и поддържани от специализирани „доставчици“.

Откриване и защита

След анализите на Sophos и други вендори са създадени сигнатури за откриване, включително:

• ATK/Shanya-B,

• ATK/Shanya-C,

• ATK/Shanya-D.

Защитни препоръки за организации:

• активно блокиране на BYOVD атаки чрез модерни EDR решения,

• мониторинг за неправомерно зареждане на системни DLL файлове,

• забрана за изпълнение на неочаквани драйвери (driver load control),

• пълно логиране на User Account Control събития,

• анализ на shell32.dll аномалии в паметта,

• засилен мониторинг при необяснимо спиране на EDR/AV процеси.