Miért kell óvakodnia az EDRKillShifter malware fenyegetéstől?

A kiberbiztonsági környezet a közelmúltban tanúja volt egy új, kifinomult malware-eszköz, az EDRKillShifter megjelenésének. A hírhedt RansomHub ransomware csoporthoz kapcsolódóan ezt az eszközt arra tervezték, hogy semlegesítse az Endpoint Detection and Response (EDR) szoftvert a feltört rendszereken. E kritikus biztonsági védelem kiküszöbölésével az EDRKillShifter utat nyit a fenyegetés szereplői számára a támadások fokozásához, ami esetleg pusztító következményekhez vezethet.

Az EDRKillShifter egy szélesebb trend része a kiberbűnözők körében, akik egyre gyakrabban alkalmaznak hasonló segédprogramokat, mint például az AuKill (más néven AvNeutralizer) és a Terminator, hogy letiltsák az EDR-megoldásokat. Ezek az eszközök különösen veszélyesek, mivel jogszerű illesztőprogramokat – a rendszer hardverének működéséhez szervesen kapcsolódó szoftverelemeket – kihasználnak, amelyek ki vannak téve a visszaéléseknek. Ez a módszer, amelyet "hozd be saját sebezhető illesztőprogramodat" (BYOVD), lehetővé teszi a támadók számára, hogy rosszindulatú rakományokat szállítsanak anélkül, hogy azonnali gyanút keltene.

Az EDRKillShifter mechanikája

Az EDRKillShifter eszköz "betöltő" végrehajtható fájlként működik, egy olyan típusú program, amely legitim, de sebezhető illesztőprogramot szállít a célrendszerre. Ez a kézbesítési mód lehetővé teszi a rosszindulatú programok számára, hogy megkerüljék a biztonsági mechanizmusokat az illesztőprogram legitimitásának kihasználásával. A végrehajtás után az eszköz visszafejti a BIN nevű beágyazott erőforrást, amely a Go programozási nyelven írt végső hasznos adatot tartalmazza. Ez a hasznos teher homályos, ami megnehezíti az észlelést és elemzést. Aktiváláskor kihasználja a különféle sebezhető illesztőprogramokat, hogy magasabb jogosultságokat szerezzen, és letiltja az EDR szoftvert, hatékonyan hatástalanítva ezzel a rendszer elsődleges védelmét.

A további elemzések feltárták, hogy az EDRKillShifterhez társított bináris fájlt orosz lokalizációs beállításokkal rendelkező rendszeren fordították le, ami a rosszindulatú program lehetséges eredetére utal. A beágyazott illesztőprogramok, amelyek kulcsfontosságúak a kártevő működéséhez, a végrehajtható fájl .data részében vannak elrejtve, és további összetettséget adnak az észleléshez.

A kiberbűnözés tágabb kontextusa

A RansomHub, az EDRKillShifter mögött álló kiberbűnözők csoportja a feltételezések szerint a 2024 februárjában felbukkanó Knight ransomware csoport új márkája. Ez a csoport már korábban használta ki az ismert biztonsági réseket a rendszerekhez való kezdeti hozzáférés érdekében. Miután bekerültek, gyakran olyan legitim távoli asztali eszközöket telepítenek, mint az Atera és a Splashtop, hogy fenntartsák a folyamatos hozzáférést, ami megnehezíti tevékenységeik észlelését.

Tovább bonyolítja a fenyegetettséget, hogy a Microsoft közelmúltbeli megállapításai a hírhedt Scattered Spider e-bűnügyi szindikátust a RansomHub és más zsarolóvírus-törzsek, például a Qilin használatához hozzák összefüggésbe. Ez a kapcsolat alátámasztja a kiberbűnözők fejlődő taktikáját, akik folyamatosan finomítják módszereiket a biztonsági intézkedések megkerülésére.

Az EDRKillShifter fenyegetés mérséklése

Az olyan fenyegetésekkel szembeni védelem érdekében, mint az EDRKillShifter, kulcsfontosságú egy többrétegű biztonsági megközelítés alkalmazása:

1. Rendszeres frissítések: Gondoskodjon arról, hogy minden rendszer és szoftver naprakész legyen a legújabb javításokkal. Ez segít bezárni a rosszindulatú programok által kihasznált ismert sebezhetőségeket.
2. Szabotázsvédelem engedélyezése: Aktiválja a szabotázs elleni védelmi funkciókat az EDR-szoftveren belül, hogy megakadályozza a biztonsági eszközök jogosulatlan módosításait vagy letiltását.
3. Erős Windows biztonsági gyakorlatok érvényesítése: A felhasználói és rendszergazdai jogosultságok szigorú elkülönítése. Ez korlátozza a támadók azon képességét, hogy kiterjesszék a jogosultságokat és végrehajtsák a rosszindulatú illesztőprogramokat.
4. Vigilans Security Monitoring fenntartása: Folyamatosan figyelje a hálózati tevékenységet a szokatlan viselkedés miatt, különösen az illesztőprogramok betöltésére vagy futtatására irányuló kísérleteket, amelyek egy folyamatban lévő támadást jelezhetnek.

Az SbaProxy felemelkedése: A lopakodás új rétege

Az EDRKillShifter mellett a fenyegetés szereplői egy új, SbaProxy nevű, lopakodó malware-t telepítettek. Ez a rosszindulatú program különösen alattomos, mivel olyan jó hírű cégektől származó legitim víruskereső binárisokat módosít, mint a BitDefender, a Malwarebytes és a Sophos. Ezeket a bináris fájlokat ezután hamisított tanúsítványokkal újra aláírják, lehetővé téve a rosszindulatú programok számára, hogy proxykapcsolatokat létesítsenek egy parancs- és vezérlőkiszolgálón (C2) keresztül.

Az SbaProxy elsődleges feladata, hogy proxyszolgáltatásokat hozzon létre, amelyek a forgalmat a C2-kiszolgálón és a fertőzött gépen keresztül irányítják, elősegítve a rosszindulatú tevékenységeket. A rosszindulatú program csak a TCP-kapcsolatokat támogatja, de kifinomult kialakítása és legitim megjelenése kihívást jelent az észlelésben.

Az EDRKillShifter és az SbaProxy megjelenése rávilágít arra, hogy a szervezetek manapság egyre kifinomultabbak a kiberfenyegetések. Ezek az eszközök egy növekvő arzenál részét képezik, amelyet a kiberbűnözők a hagyományos biztonsági intézkedések megkerülésére és rosszindulatú tevékenységeik észrevétlenül való végrehajtására használnak. Azáltal, hogy tájékozottak maradnak ezekről a fenyegetésekről, és robusztus biztonsági gyakorlatokat alkalmaznak, a szervezetek jobban megvédhetik rendszereiket ezekkel a fejlődő veszélyekkel szemben.