PoorTry/BurntCigar

Kyberuhkien maisema on todistanut PoorTryn, ydintilan Windows-ohjaimen, kehityksen, joka on ottanut tuhoisemman käänteen. PoorTry, joka oli alun perin suunniteltu poistamaan käytöstä Endpoint Detection and Response (EDR) -ratkaisut, on nyt tullut EDR-pyyhkimeksi. Tämän kehityksen ansiosta lunnasohjelmajengit voivat poistaa tiedostoja, jotka ovat tärkeitä tietoturvaohjelmistojen toiminnalle, mikä tekee järjestelmät puolustuskyvyttömiksi ja tekee palautumisesta paljon haastavampaa.

PoorTryn kehitys: deaktivoinnista tuhoon

PoorTry, joka tunnetaan myös nimellä "BurntCigar", on ollut merkittävä työkalu kiristysohjelmaryhmien arsenaalissa sen perustamisesta vuonna 2021 lähtien. Alun perin se kehitettiin poistamaan EDR ja muut turvatoimenpiteet. Ajan mittaan sitä ovat käyttäneet pahamaineiset lunnasohjelmat, kuten BlackCat , Cuba ja LockBit . Sen kehitys saavutti merkittävän virstanpylvään, kun sen tekijät käyttivät hyväkseen Microsoftin todistusten allekirjoitusprosessia, mikä mahdollisti haitallisten ohjainten allekirjoittamisen ja käytön tehokkaammin.

Vuosien 2022 ja 2023 aikana PoorTry jatkoi kehitystään ja paransi kykyään välttää havaitsemista. Ottamalla käyttöön hämärätyökaluja, kutenVMProtect , Themida ja ASMGuard, siitä tuli taitavampi piilottamaan ilkeä tarkoitus. Huolestuttavin kehitys tapahtui kuitenkin heinäkuussa 2024, kun PoorTry siirtyi pelkästä EDR-järjestelmien käytöstä poistamisesta niiden poistamiseen kokonaan.

Kuinka PoorTry toimii

PoorTryn uusin iteraatio alkaa sen käyttäjätilakomponentilla, joka tunnistaa huolellisesti tietoturvaohjelmistojen asennushakemistot ja paikantaa kriittiset tiedostot. Nämä tiedot välitetään sitten kernel-tilan komponentille, joka suorittaa hyökkäyksen lopettamalla järjestelmällisesti suojausprosessit ja poistamalla tärkeitä tiedostoja.

PoorTryn kyky kohdistaa tiedostoja nimen tai tyypin mukaan lisää toiminnan joustavuutta, mikä mahdollistaa sen, että se kattaa laajan valikoiman EDR-tuotteita. Tämä tarkkuus varmistaa, että vain kriittisimmät tiedostot poistetaan, mikä minimoi varhaisen havaitsemisen mahdollisuudet ja maksimoi hyökkäyksen vaikutuksen salausvaiheen aikana.

PoorTryn evoluution vaikutukset

Siirtyminen EDR-deaktivoinnista pyyhkimiseen edustaa merkittävää eskalaatiota kiristyshaittaohjelmien toimijoiden käyttämissä taktiikoissa. Poistamalla mahdollisuuden palauttaa tai käynnistää uudelleen EDR-järjestelmiä hyökkääjät voivat jatkaa salausta kiistatta, jolloin järjestelmät ovat haavoittuvia ja puolustuskyvyttömiä.

Huolimatta kyberturvallisuusyritysten, kuten Trend Micron ja Sophosin, ponnisteluista, jotka ovat seuranneet PoorTryn kehitystä ja varoittaneet sen lisääntyvistä ominaisuuksista, tämän työkalun kehittäjät ovat jatkuvasti mukautuneet uusiin suojatoimiin. Tämä sopeutumiskyky korostaa jatkuvaa haastetta, jota tietoturva-ammattilaiset kohtaavat pysyäkseen edellä tällaisten kehittyneiden uhkien edessä.

Kuinka poistaa PoorTry ja suojata järjestelmäsi

PoorTryn aggressiivisen luonteen vuoksi on välttämätöntä ryhtyä välittömästi toimiin, jos epäilet, että järjestelmäsi on vaarantunut. Tässä on vaiheittaiset ohjeet PoorTryn poistamiseen ja järjestelmän suojaamiseen:

1. Suorita täydellinen järjestelmän tarkistus haittaohjelmien torjuntaohjelmalla : Aloita käyttämällä hyvämaineista haittaohjelmien torjuntaohjelmaa järjestelmäsi kattavan tarkistuksen suorittamiseksi. Varmista, että sovellus on ajan tasalla uusimpien uhkamääritelmien kanssa, jotta PoorTry voidaan havaita tehokkaasti.
2. Eristä saastunut järjestelmä : Jos PoorTry havaitaan, eristä tartunnan saanut järjestelmä verkosta estääksesi haittaohjelman leviämisen.
3. Poista haittaohjelma : Noudata haittaohjelmien torjuntaohjelman ohjeita poistaaksesi PoorTry järjestelmästäsi. Tämä voi sisältää tartunnan saaneiden tiedostojen asettamisen karanteeniin tai poistamisen. Varmista, että kaikki haittaohjelmien jäljet on poistettu.
4. Palauta suojausohjelmistosi : PoorTryn poistamisen jälkeen saatat joutua asentamaan tai palauttamaan EDR- ja muut suojausratkaisut uudelleen varmistaaksesi, että järjestelmäsi on suojattu. Tarkista, että kaikki tietoturvaohjelmistosi tärkeät osat ovat ehjät ja toimivat.
5. Päivitä ja vahvista järjestelmäsi : Pidä käyttöjärjestelmäsi, sovelluksesi ja tietoturvaohjelmistosi ajan tasalla. Käytä lisäturvatoimenpiteitä, kuten verkon segmentointia ja monitekijätodennusta, vähentääksesi tulevien hyökkäysten riskiä.
6. Tarkkaile muita uhkia : Jatka järjestelmän seurantaa mahdollisten uudelleentartunnan tai muun epäilyttävän toiminnan varalta. Pysy valppaana ja ole aktiivinen asentaessasi tietoturvakorjauksia ja -päivityksiä.

PoorTryn kehittyminen EDR-pyyhkimeksi merkitsee uutta aggression tasoa ransomware-jengien taktiikoissa. Ymmärtämällä tämän haittaohjelman toiminnan ja poistamalla sen nopeasti, voit suojata järjestelmääsi lisävaurioilta. Käytä luotettavaa haittaohjelmien torjuntaohjelmaa tunnistaaksesi ja poistaaksesi PoorTryn ja varmistaaksesi, että suojauksesi ovat riittävän vahvat kestämään tulevia uhkia. Pysy askeleen edellä jatkuvasti muuttuvassa taistelussa verkkorikollisuutta vastaan.

PoorTry/BurntCigar Video

Vinkki: Ota ääni käyttöön ja katso video koko näytön tilassa .