PoorTry/BurntCigar

Până în Mura în Programe malware, Rootkit-uri

Tradu in:

Peisajul amenințărilor cibernetice a fost martor la evoluția PoorTry, un driver Windows în modul kernel care a luat o turnură mai distructivă. Proiectat inițial pentru a dezactiva soluțiile EDR (Endpoint Detection and Response), PoorTry a devenit acum un ștergător EDR. Această evoluție permite grupurilor de ransomware să ștergă fișiere cruciale pentru operațiunile software de securitate, făcând sistemele fără apărare și făcând recuperarea mult mai dificilă.

Cuprins

Evoluția PoorTry: de la dezactivare la distrugere

PoorTry, cunoscut și sub pseudonimul „BurntCigar”, a fost un instrument semnificativ în arsenalul grupurilor de ransomware de la înființarea sa în 2021. Inițial, a fost dezvoltat pentru a dezactiva EDR și alte măsuri de securitate. De-a lungul timpului, a fost folosit de bande notorii de ransomware, inclusiv BlackCat , Cuba și LockBit . Dezvoltarea sa a atins o piatră de hotar notabilă atunci când creatorii săi au exploatat procesul de semnare a atestărilor Microsoft, permițând ca driverele rău intenționate să fie semnate și utilizate cu mai multă eficacitate.

De-a lungul anilor 2022 și 2023, PoorTry a continuat să evolueze, sporindu-și capacitatea de a evita detectarea. Prin încorporarea instrumentelor de ofuscare precumVMProtect , Themida și ASMGuard, a devenit mai abil în a-și ascunde intenția rău intenționată. Cu toate acestea, cea mai îngrijorătoare dezvoltare a avut loc în iulie 2024, când PoorTry a trecut de la simpla dezactivare a sistemelor EDR la eliminarea lor completă.

Cum funcționează PoorTry

Cea mai recentă iterație a PoorTry începe cu componenta sa în modul utilizator, care identifică cu meticulozitate directoarele de instalare ale software-ului de securitate și identifică fișierele critice. Aceste informații sunt transmise apoi către componenta în modul kernel, care execută atacul prin încheierea sistematică a proceselor de securitate și ștergerea fișierelor esențiale.

Capacitatea PoorTry de a viza fișierele după nume sau tip adaugă un strat de flexibilitate operațională, permițându-i să acopere un spectru larg de produse EDR. Această precizie asigură că numai cele mai critice fișiere sunt șterse, minimizând șansele de detectare timpurie și maximizând impactul atacului în timpul fazei de criptare.

Implicațiile evoluției lui PoorTry

Trecerea de la dezactivarea EDR la ștergere reprezintă o escaladare semnificativă a tacticilor folosite de actorii ransomware. Prin eliminarea capacității de a recupera sau reporni sistemele EDR, atacatorii pot continua cu criptarea necontestată, lăsând sistemele vulnerabile și fără apărare.

În ciuda eforturilor firmelor de securitate cibernetică precum Trend Micro și Sophos, care au urmărit evoluția PoorTry și au avertizat cu privire la capacitățile sale în creștere, dezvoltatorii din spatele acestui instrument s-au adaptat constant la noile măsuri defensive. Această adaptabilitate subliniază provocarea continuă cu care se confruntă profesioniștii în securitate pentru a rămâne în fața unor astfel de amenințări avansate.

Cum să eliminați PoorTry și să vă protejați sistemul

Având în vedere natura agresivă a PoorTry, este esențial să luați măsuri imediate dacă bănuiți că sistemul dvs. a fost compromis. Iată un ghid pas cu pas pentru a elimina PoorTry și pentru a vă proteja sistemul:

Rulați o scanare completă a sistemului cu un program anti-malware : începeți prin a utiliza un program anti-malware de renume pentru a efectua o scanare completă a sistemului dvs. Asigurați-vă că aplicația este actualizată cu cele mai recente definiții de amenințări pentru a detecta eficient PoorTry.
Izolați sistemul infectat : Dacă PoorTry este detectat, izolați sistemul infectat din rețea pentru a preveni răspândirea în continuare a malware-ului.
Eliminați programul malware : urmați instrucțiunile programului anti-malware pentru a elimina PoorTry din sistemul dvs. Acest lucru poate implica punerea în carantină sau ștergerea fișierelor infectate. Asigurați-vă că toate urmele malware-ului sunt eliminate.
Restaurați software-ul de securitate : după eliminarea PoorTry, poate fi necesar să reinstalați sau să restaurați EDR și alte soluții de securitate pentru a vă asigura că sistemul este protejat. Verificați de două ori dacă toate componentele critice ale software-ului dumneavoastră de securitate sunt intacte și funcționează.
Actualizați și consolidați-vă sistemul : mențineți actualizate sistemul de operare, aplicațiile și software-ul de securitate. Aplicați măsuri de securitate suplimentare, cum ar fi segmentarea rețelei și autentificarea cu mai mulți factori, pentru a diminua riscul unor atacuri viitoare.
Monitorizați pentru amenințări ulterioare : Continuați să monitorizați sistemul pentru orice semne de reinfecție sau alte activități suspecte. Rămâneți vigilenți și fiți proactiv în aplicarea corecțiilor de securitate și a actualizărilor.

Evoluția lui PoorTry într-un ștergător EDR marchează un nou nivel de agresivitate în tactica bandelor de ransomware. Înțelegând modul în care funcționează acest malware și luând măsuri rapide pentru a-l elimina, vă puteți proteja sistemul de alte daune. Utilizați un program anti-malware de încredere pentru a detecta și elimina PoorTry și pentru a vă asigura că apărările dvs. de securitate sunt suficient de robuste pentru a rezista amenințărilor viitoare. Rămâneți cu un pas înainte în lupta în continuă schimbare împotriva criminalității cibernetice.