Κακόβουλο λογισμικό EDRKillShifter

Μια ομάδα εγκλήματος στον κυβερνοχώρο που σχετίζεται με το RansomHub Ransomware έχει εντοπιστεί να αναπτύσσει ένα νέο εργαλείο που στοχεύει στην απενεργοποίηση του λογισμικού εντοπισμού και απόκρισης τελικού σημείου (EDR) σε παραβιασμένα συστήματα. Οι ειδικοί στον τομέα της κυβερνοασφάλειας ονόμασαν αυτό το βοηθητικό πρόγραμμα απενεργοποίησης EDR "EDRKillShifter". Το εργαλείο ανακαλύφθηκε μετά από μια αποτυχημένη προσπάθεια ransomware τον Μάιο του 2024. Το EDRKillShifter τώρα εντάσσεται σε άλλα παρόμοια προγράμματα, όπως το AuKill (γνωστό και ως AvNeutralizer) και το Terminator.

Το EDRKillShifter λειτουργεί ως εκτελέσιμο «φορτωτή», που χρησιμεύει ως μηχανισμός παράδοσης για ένα νόμιμο αλλά ευάλωτο πρόγραμμα οδήγησης—αυτός ο τύπος εργαλείου είναι συνήθως γνωστός ως «φέρτε το δικό σας ευάλωτο πρόγραμμα οδήγησης» (BYOVD). Ανάλογα με τους στόχους του παράγοντα απειλής, μπορεί να αναπτύξει διάφορα ωφέλιμα φορτία οδηγού.

Νέο πρόσωπο μιας παλιάς ομάδας εγκλήματος στον κυβερνοχώρο

Το RansomHub Ransomware που πιστεύεται ότι είναι μια ανανεωμένη έκδοση του Knight Ransomwar e, εμφανίστηκε τον Φεβρουάριο του 2024. Εκμεταλλεύεται γνωστά τρωτά σημεία ασφαλείας για να αποκτήσει αρχική πρόσβαση, αναπτύσσοντας νόμιμα εργαλεία απομακρυσμένης επιφάνειας εργασίας όπως το Atera και το Splashtop για να διατηρεί σταθερή πρόσβαση. Μόλις τον περασμένο μήνα, η Microsoft αποκάλυψε ότι η διαβόητη ομάδα εγκλήματος στον κυβερνοχώρο Scattered Spider έχει προσθέσει στελέχη ransomware όπως το RansomHub και το Qilin στην εργαλειοθήκη της.

Αλυσίδα επίθεσης και λειτουργία του EDRKillShifter

Εκτελούμενο μέσω της γραμμής εντολών με εισαγωγή συμβολοσειράς κωδικού πρόσβασης, το εκτελέσιμο αποκρυπτογραφεί έναν ενσωματωμένο πόρο που ονομάζεται BIN και τον εκτελεί απευθείας στη μνήμη. Αυτός ο πόρος BIN αποσυσκευάζει και εκτελεί ένα τελικό ωφέλιμο φορτίο που βασίζεται στο Go, το οποίο εκμεταλλεύεται διάφορα ευάλωτα, νόμιμα προγράμματα οδήγησης για να αποκτήσει αυξημένα προνόμια και να απενεργοποιήσει το λογισμικό EDR.

Η ιδιότητα γλώσσας του δυαδικού αρχείου έχει οριστεί στα Ρωσικά, υποδηλώνοντας ότι το κακόβουλο λογισμικό έχει μεταγλωττιστεί σε ένα σύστημα με ρυθμίσεις τοπικής προσαρμογής στα ρωσικά. Όλα τα μη συσκευασμένα εργαλεία απενεργοποίησης EDR ενσωματώνουν ένα ευάλωτο πρόγραμμα οδήγησης στην ενότητα .data.

Συνιστάται η ενημέρωση των συστημάτων, η ενεργοποίηση της προστασίας από παραβιάσεις στο λογισμικό EDR και η διατήρηση ισχυρών πρακτικών ασφαλείας για τους ρόλους των Windows για τον μετριασμό αυτής της απειλής. Αυτή η επίθεση είναι εφικτή μόνο εάν ο εισβολέας μπορεί να κλιμακώσει τα προνόμια ή να αποκτήσει δικαιώματα διαχειριστή. Η διασφάλιση ενός σαφούς διαχωρισμού μεταξύ των δικαιωμάτων χρήστη και διαχειριστή μπορεί να βοηθήσει εξαιρετικά στην αποτροπή των εισβολέων από το να φορτώνουν εύκολα κατεστραμμένα προγράμματα οδήγησης.

Πώς να ενισχύσετε την ασφάλεια των συσκευών σας έναντι μολύνσεων από κακόβουλο λογισμικό;

Για την ενίσχυση της ασφάλειας της συσκευής και την προστασία από μολύνσεις από κακόβουλο λογισμικό, οι χρήστες ενθαρρύνονται να υιοθετήσουν τις ακόλουθες ολοκληρωμένες βέλτιστες πρακτικές:

Με την υιοθέτηση αυτών των βέλτιστων πρακτικών, οι χρήστες μπορούν να ενισχύσουν σημαντικά την άμυνά τους έναντι μολύνσεων από κακόβουλο λογισμικό και άλλες απειλές ασφαλείας, ενισχύοντας τη συνολική ασφάλεια και ακεραιότητα του συστήματος.

Κακόβουλο λογισμικό EDRKillShifter βίντεο

Συμβουλή: Ενεργοποιήστε τον ήχο σας και παρακολουθήστε το βίντεο σε λειτουργία πλήρους οθόνης .