Malware EDRKillShifter

Nga Mezo në Malware

Përkthe në:

Një grup krimi kibernetik i lidhur me RansomHub Ransomware është parë duke vendosur një mjet të ri që synon të çaktivizojë softuerin e zbulimit dhe përgjigjes së pikës fundore (EDR) në sistemet e komprometuara. Ekspertët e sigurisë kibernetike e kanë emërtuar këtë mjet që çaktivizon EDR "EDRKillShifter". Mjeti u zbulua pas një përpjekjeje të dështuar ransomware në maj 2024. EDRKillShifter tani bashkohet me programe të tjera të ngjashme, si AuKill (i njohur edhe si AvNeutralizer) dhe Terminator.

EDRKillShifter funksionon si një ekzekutues 'ngarkues', duke shërbyer si një mekanizëm shpërndarjeje për një drejtues legjitim, por të cenueshëm—ky lloj mjeti zakonisht njihet si një 'sillni drejtuesin tuaj të cenueshëm' (BYOVD). Në varësi të objektivave të aktorit të kërcënimit, ai mund të vendosë ngarkesa të ndryshme drejtuese.

Tabela e Përmbajtjes

Fytyra e re e një grupi të vjetër të krimit kibernetik

RansomHub Ransomware që besohet të jetë një version i riemërtuar i Knight Ransomwar e, u shfaq në shkurt 2024. Ai shfrytëzon dobësitë e njohura të sigurisë për të fituar aksesin fillestar, duke vendosur mjete legjitime të desktopit në distancë si Atera dhe Splashtop për të ruajtur aksesin e vazhdueshëm. Vetëm muajin e kaluar, Microsoft zbuloi se grupi famëkeq i krimit kibernetik Scattered Spider ka shtuar lloje të ransomware si RansomHub dhe Qilin në paketën e veglave të tij.

Zinxhiri i sulmit dhe funksionimi i EDRKillShifter

Ekzekutuar nëpërmjet linjës së komandës me një hyrje të vargut të fjalëkalimit, ekzekutuesi deshifron një burim të integruar të quajtur BIN dhe e drejton atë drejtpërdrejt në memorie. Ky burim BIN shpaketon dhe ekzekuton një ngarkesë përfundimtare të bazuar në Go, të errësuar, e cila shfrytëzon drejtues të ndryshëm të cenueshëm dhe legjitimë për të fituar privilegje të larta dhe për të çaktivizuar softuerin EDR.

Vetia e gjuhës së binarit është vendosur në Rusisht, duke sugjeruar që malware është përpiluar në një sistem me cilësimet e lokalizimit rus. Të gjitha mjetet e papaketuara të çaktivizimit të EDR ngulitin një drejtues të cenueshëm brenda seksionit .data.

Rekomandohet që të mbahen sistemet të përditësuara, të mundësohet mbrojtja nga ndërhyrjet në softuerin EDR dhe të ruhen praktika të forta sigurie për rolet e Windows për të zbutur këtë kërcënim. Ky sulm është i realizueshëm vetëm nëse sulmuesi mund të përshkallëzojë privilegjet ose të fitojë të drejta administratori. Sigurimi i një ndarjeje të qartë midis privilegjeve të përdoruesit dhe administratorit mund të ndihmojë jashtëzakonisht në parandalimin e sulmuesve që të ngarkojnë me lehtësi drejtuesit e dëmtuar.

Si të rrisni sigurinë e pajisjeve tuaja kundër infeksioneve malware?

Për të forcuar sigurinë e pajisjes dhe për të mbrojtur kundër infeksioneve malware, përdoruesit inkurajohen të miratojnë praktikat më të mira gjithëpërfshirëse të mëposhtme:

Përditësimet e rregullta të softuerit: Sistemi operativ: Sigurohuni që sistemi juaj operativ të përmirësohet rregullisht me arnimet dhe përditësimet më të fundit të sigurisë për të adresuar dhe korrigjuar dobësitë e njohura. Aplikacionet: Përditësoni rregullisht të gjithë softuerin e instaluar, duke përfshirë shfletuesit e uebit, shtojcat dhe aplikacionet e tjera, për të ruajtur sigurinë dhe funksionalitetin.

Fjalëkalime të forta dhe unike: Kompleksiteti i fjalëkalimit: Krijoni fjalëkalime komplekse që kombinojnë shkronja, numra dhe simbole për të rritur sigurinë. Menaxhimi i fjalëkalimeve: Përdorni një menaxher me reputacion të fjalëkalimeve për të gjeneruar, ruajtur dhe menaxhuar fjalëkalime unike për secilën llogari, duke zvogëluar kështu rrezikun e shkeljeve të lidhura me fjalëkalimin.

Autentifikimi me dy faktorë (2FA) : Siguri shtesë: Zbatoni vërtetimin me dy faktorë në të gjitha llogaritë dhe shërbimet që e mbështesin atë, duke shtuar një shtresë më shumë sigurie përtej fjalëkalimeve tradicionale.

Softuer anti-malware: Mbrojtja në kohë reale: Instaloni dhe mirëmbani programe të besuara anti-malware që ofrojnë mbrojtje në kohë reale dhe kryejnë skanime të rregullta për të zbuluar dhe neutralizuar kërcënimet. Përditësimet e programit: Përditësoni rregullisht këto programe sigurie për t'u siguruar që ata mund të identifikojnë dhe luftojnë në mënyrë efektive kërcënimet e reja dhe ato të reja.

Praktika të sigurta të shfletimit: Shmangni lidhjet e dyshimta: Përmbahuni nga qasja në lidhje ose shkarkimi i bashkëngjitjeve nga emaile të panjohura ose të dyshimta për të parandaluar infeksionet e malware. Verifikoni faqet e internetit: Sigurohuni që po lundroni në uebsajte të sigurta dhe legjitime duke kontrolluar për HTTPS në URL përpara se të futni ndonjë informacion privat.

Rezervimet e rregullta: Rezervimi i të dhënave: Rezervoni shpesh të dhënat kritike në një pajisje ruajtëse të pavarur ose një shërbim cloud për të minimizuar humbjen e mundshme të të dhënave në rast të një sulmi malware.

Konfigurimi i murit të zjarrit: Mbrojtja e rrjetit: Përdorni një mur zjarri për të rregulluar trafikun e rrjetit në hyrje dhe në dalje, duke bllokuar kështu aksesin e paautorizuar dhe duke rritur sigurinë e rrjetit.

Privilegjet e përdoruesit: Parimi i privilegjit më të vogël: Në vend të një llogarie administratori, veproni duke përdorur një llogari të rregullt përdoruesi për të kufizuar ndikimin e mundshëm të malware në operacionet e sistemit. Llogaritë e ndara: Mbani llogari të veçanta për aktivitetet rutinë dhe detyrat administrative për të zbutur rrezikun e përshkallëzimit të paautorizuar të privilegjeve.

Edukimi dhe ndërgjegjësimi: Ndërgjegjësimi për phishing: Qëndroni të informuar në lidhje me taktikat e zakonshme të phishing dhe taktikat e inxhinierisë sociale për të zvogëluar mundësinë e të qenit viktimë e sulmeve të tilla. Trajnim i vazhdueshëm: Angazhohuni vazhdimisht në burime trajnimi dhe arsimore për të qëndruar të përditësuar mbi kërcënimet më të fundit të sigurisë dhe praktikat më të mira.

Duke adoptuar këto praktika më të mira, përdoruesit mund të forcojnë ndjeshëm mbrojtjen e tyre kundër infeksioneve malware dhe kërcënimeve të tjera të sigurisë, duke rritur sigurinë dhe integritetin e përgjithshëm të sistemit.