Varför du bör akta dig för EDRillShifter-hot med skadlig programvara

Cybersäkerhetslandskapet har nyligen bevittnat uppkomsten av ett nytt, sofistikerat malware-verktyg känt som EDRKillShifter. Länkat till den ökända RansomHub ransomware-gruppen, är detta verktyg designat för att neutralisera Endpoint Detection and Response (EDR)-programvara på komprometterade system. Genom att eliminera dessa kritiska säkerhetsförsvar banar EDRKillShifter vägen för hotaktörer att eskalera sina attacker, vilket kan leda till förödande resultat.

EDRKillShifter är en del av en bredare trend bland cyberkriminella som i allt större utsträckning använder liknande verktyg, som AuKill (även känd som AvNeutralizer) och Terminator, för att inaktivera EDR-lösningar. Dessa verktyg är särskilt farliga eftersom de utnyttjar legitima drivrutiner – mjukvarukomponenter som är integrerade i hur hårdvaran fungerar på ett system – som är sårbara för missbruk. Denna metod, känd som "bring your own vulnerable driver" (BYOVD), tillåter angripare att leverera skadliga nyttolaster utan att väcka omedelbar misstanke.

Mekaniken i EDRillShifter

EDRKillShifter-verktyget fungerar som en "loader"-körbar, en typ av program som levererar en legitim men ändå sårbar förare till målsystemet. Denna leveransmetod gör det möjligt för skadlig programvara att kringgå säkerhetsmekanismer genom att utnyttja förarens legitimitet. När det väl har körts dekrypterar verktyget en inbäddad resurs som heter BIN, som innehåller en slutlig nyttolast skriven i programmeringsspråket Go. Denna nyttolast är förvirrad, vilket gör det svårt att upptäcka och analysera. Vid aktivering utnyttjar den olika sårbara förare för att få förhöjda privilegier och inaktivera EDR-programvara, vilket effektivt avväpnar systemets primära försvar.

Ytterligare analys har avslöjat att binären förknippad med EDRKillShifter kompilerades på ett system med ryska lokaliseringsinställningar, vilket tyder på ett potentiellt ursprung för skadlig programvara. De inbäddade drivrutinerna, som är avgörande för att skadlig programvara ska fungera, är gömda i .data-delen av den körbara filen, vilket lägger till ytterligare ett lager av komplexitet för dess upptäckt.

Den bredare cyberkriminalitetskontexten

RansomHub, cyberbrottsgruppen bakom EDRKillShifter, tros vara ett omvarumärke av Knight ransomware-gruppen, som dök upp i februari 2024. Denna grupp har en historia av att utnyttja kända säkerhetsbrister för att få initial tillgång till system. Väl inne distribuerar de ofta legitima fjärrskrivbordsverktyg som Atera och Splashtop för att bibehålla beständig åtkomst, vilket gör deras aktiviteter svårare att upptäcka.

För att öka komplexiteten i hotbilden har Microsofts senaste fynd kopplat det ökända e-brottssyndikatet Scattered Spider till användningen av RansomHub och andra ransomware-stammar som Qilin. Denna koppling understryker den utvecklande taktiken hos cyberkriminella som ständigt förfinar sina metoder för att kringgå säkerhetsåtgärder.

Att mildra EDRillShifter-hotet

För att skydda mot hot som EDRKillShifter är det avgörande att anta en säkerhetsstrategi i flera lager:

1. Regelbundna uppdateringar: Se till att alla system och programvara hålls uppdaterade med de senaste uppdateringarna. Detta hjälper till att stänga kända sårbarheter som skadlig programvara kan utnyttja.
2. Aktivera manipuleringsskydd: Aktivera manipuleringsskyddsfunktioner i EDR-programvaran för att förhindra obehöriga ändringar eller inaktivering av säkerhetsverktyg.
3. Genomför starka Windows-säkerhetsmetoder: Implementera strikt åtskillnad mellan användar- och administratörsbehörigheter. Detta begränsar angriparnas förmåga att eskalera privilegier och köra skadliga drivrutiner.
4. Upprätthåll vaksam säkerhetsövervakning: Övervaka kontinuerligt nätverksaktivitet för ovanligt beteende, särskilt alla försök att ladda eller köra drivrutiner, vilket kan signalera en pågående attack.

The Rise of SbaProxy: A New Layer of Stealth

Förutom EDRKillShifter har hotaktörer observerats som distribuerar en ny smyg skadlig programvara som heter SbaProxy. Denna skadliga programvara är särskilt lömsk eftersom den modifierar legitima antivirusbinärfiler från välrenommerade företag som BitDefender, Malwarebytes och Sophos. Dessa binärfiler signeras sedan om med förfalskade certifikat, vilket gör att skadlig programvara kan upprätta proxyanslutningar via en kommando-och-kontroll-server (C2).

SbaProxys primära funktion är att skapa proxytjänster som dirigerar trafik genom C2-servern och den infekterade maskinen, vilket underlättar skadliga aktiviteter. Skadlig programvara stöder endast TCP-anslutningar, men dess sofistikerade design och legitima utseende gör det svårt att upptäcka.

Framväxten av EDRKillShifter och SbaProxy belyser den ökande sofistikeringen av cyberhot som organisationer står inför idag. Dessa verktyg är en del av en växande arsenal som används av cyberkriminella för att kringgå traditionella säkerhetsåtgärder och utföra deras skadliga aktiviteter oupptäckta. Genom att hålla sig informerad om dessa hot och implementera robusta säkerhetsrutiner kan organisationer bättre skydda sina system från dessa föränderliga faror.