Por que você deve tomar cuidado com a ameaça de malware EDRKILLSHIFTER

O cenário de segurança cibernética testemunhou recentemente o surgimento de uma nova e sofisticada ferramenta de malware conhecida como EDRKillShifter. Vinculada ao notório grupo de ransomware RansomHub, esta ferramenta foi projetada para neutralizar o software Endpoint Detection and Response (EDR) em sistemas comprometidos. Ao eliminar essas defesas críticas de segurança, o EDRKillShifter abre caminho para que os agentes de ameaças intensifiquem seus ataques, potencialmente levando a resultados devastadores.

O EDRKillShifter faz parte de uma tendência mais ampla entre os cibercriminosos que estão cada vez mais implantando utilitários semelhantes, como AuKill (também conhecido como AvNeutralizer) e Terminator, para desabilitar soluções EDR. Essas ferramentas são particularmente perigosas porque exploram drivers legítimos — componentes de software integrais ao funcionamento do hardware em um sistema — que são vulneráveis a abusos. Esse método, conhecido como "traga seu próprio driver vulnerável" (BYOVD), permite que os invasores entreguem cargas maliciosas sem levantar suspeitas imediatas.

A mecânica do EDRKIllShifter

A ferramenta EDRKillShifter opera como um executável "loader", um tipo de programa que entrega um driver legítimo, porém vulnerável, no sistema de destino. Esse método de entrega permite que o malware ignore os mecanismos de segurança, aproveitando a legitimidade do driver. Uma vez executada, a ferramenta descriptografa um recurso incorporado chamado BIN, que contém uma carga útil final escrita na linguagem de programação Go. Essa carga útil é ofuscada, dificultando sua detecção e análise. Após a ativação, ela explora vários drivers vulneráveis para obter privilégios elevados e desabilitar o software EDR, desarmando efetivamente as defesas primárias do sistema.

Análises posteriores revelaram que o binário associado ao EDRKIllShifter foi compilado em um sistema com configurações de localização russas, sugerindo uma possível origem do malware. Os drivers incorporados, cruciais para a operação do malware, estão ocultos na seção .data do executável, adicionando outra camada de complexidade à sua detecção.

O contexto mais amplo do cibercrime

Acredita-se que o RansomHub, o grupo de crimes cibernéticos por trás do EDRKillShifter, seja uma reformulação do grupo de ransomware Knight, que surgiu em fevereiro de 2024. Esse grupo tem um histórico de exploração de vulnerabilidades de segurança conhecidas para obter acesso inicial aos sistemas. Uma vez lá dentro, eles geralmente implantam ferramentas legítimas de desktop remoto, como Atera e Splashtop, para manter o acesso persistente, tornando suas atividades mais difíceis de detectar.

Somando-se à complexidade do cenário de ameaças, as descobertas recentes da Microsoft vincularam o infame sindicato de crimes eletrônicos Scattered Spider ao uso do RansomHub e outras cepas de ransomware como o Qilin. Essa conexão ressalta as táticas em evolução dos cibercriminosos que estão continuamente refinando seus métodos para contornar as medidas de segurança.

Mitigando a ameaça do EDRKIllShifter

Para se proteger contra ameaças como o EDRKIllShifter, é crucial adotar uma abordagem de segurança em várias camadas:

1. Atualizações regulares: garanta que todos os sistemas e softwares sejam mantidos atualizados com os patches mais recentes. Isso ajuda a fechar vulnerabilidades conhecidas que o malware pode explorar.
2. Habilitar proteção contra adulteração: ative os recursos de proteção contra adulteração no software EDR para impedir modificações não autorizadas ou desabilitar ferramentas de segurança.
3. Aplique Práticas Fortes de Segurança do Windows: Implemente separação rigorosa entre privilégios de usuário e administrador. Isso limita a capacidade dos invasores de escalar privilégios e executar drivers maliciosos.
4. Mantenha um monitoramento de segurança vigilante: monitore continuamente a atividade da rede em busca de comportamento incomum, principalmente quaisquer tentativas de carregar ou executar drivers, o que pode indicar um ataque em andamento.

A ascensão do SbaProxy: uma nova camada de discrição

Além do EDRKillShifter, agentes de ameaças foram observados implantando um novo malware furtivo chamado SbaProxy. Esse malware é particularmente insidioso, pois modifica binários legítimos de antivírus de empresas respeitáveis, como BitDefender, Malwarebytes e Sophos. Esses binários são então assinados novamente com certificados falsificados, permitindo que o malware estabeleça conexões proxy por meio de um servidor de comando e controle (C2).

A função primária do SbaProxy é criar serviços de proxy que roteiam o tráfego através do servidor C2 e da máquina infectada, facilitando atividades maliciosas. O malware suporta apenas conexões TCP, mas seu design sofisticado e aparência legítima o tornam desafiador de detectar.

O surgimento do EDRKillShifter e do SbaProxy destaca a crescente sofisticação das ameaças cibernéticas enfrentadas pelas organizações hoje. Essas ferramentas são parte de um arsenal crescente usado por criminosos cibernéticos para contornar medidas de segurança tradicionais e realizar suas atividades maliciosas sem serem detectadas. Ao se manterem informadas sobre essas ameaças e implementarem práticas de segurança robustas, as organizações podem proteger melhor seus sistemas desses perigos em evolução.