Вредонос RobbinHood борется с антивирусами с помощью драйвера Gigabyte

Вредонос RobbinHood борется с антивирусами с помощью драйвера Gigabyte

Распространяющие шифровальщик RobbinHood киберпреступники эксплуатируют уязвимость в драйвере Gigabyte для установки своего вредоносного неподписанного драйвера, предназначенного для отключения антивирусных продуктов.

Таким образом, перед началом шифрования злоумышленники пытаются деактивировать все установленные на рабочих станциях защитные решения.

В обычных условиях процессы защитных механизмов в системах Windows можно завершить только с помощью драйверов уровня ядра. Чтобы уберечь пользователей от таких атак, Microsoft внедрила механизм проверки подписи — только подписанные корпорацией драйверы можно установить в систему.

Теперь же исследователи из компании Sophos описали новую технологию, используемую киберпреступниками для распространения вымогателя RobbinHood.

Первым делом атакующие инсталлируют в систему известный уязвимый драйвер Gigabyte (GDRV.SYS), подписанный Microsoft, а затем задействуют брешь в нём для отключения функции проверки подписи драйверов.

Уязвимость отслеживается под идентификатором CVE-2018-19320, она затрагивает ныне устаревший набор программного обеспечения Gigabyte. В описанных Sophos атаках преступники задействовали исполняемый файл Steel.exe.

Список подлежащих завершению антивирусных процессов находится в файле PLIST.TXT, к которому, к сожалению, исследователи не смогли получить доступ.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Скамеры выдают себя за DarkSide и требуют выкуп, но им никто не верит

Какие-то озорники пытаются выдавать себя за печально известную киберпреступную группировку DarkSide и вымогают у компаний 100 биткоинов. По словам специалистов Trend Micro, под прицелом мошенников оказались организации пищевой промышленности и энергетического сектора.

Забавно, что кампания злоумышленников пока не приносит никаких результатов, потому что указанный криптовалютный кошелёк, куда должны направляться деньги, на данный момент не получал никаких переводов.

Преступники каждый день связываются с несколькими новыми жертвами. Для этого вымогатели либо направляют соответствующее электронное письмо на официальный ящик компании, либо вставляют этот же текст в поле контактов на официальном сайте.

 

Злоумышленники пишут, что взломали серверы организации и получили доступ к конфиденциальным данным, однако никаких доказательств заявленного не приводят. Судя по всему, мошенники рассчитывают, что имя группировки DarkSide сыграет свою роль, а жертва просто испугается.

Тем не менее злоумышленники действуют не очень убедительно, поскольку ни одна из компаний не отправила выкуп на указанный кошелёк. Специалисты Trend Micro отметили, что в сравнении с настоящей DarkSide эти мошенники действуют непрофессионально.

«Участники группировки DarkSide всегда представляют доказательства своих успешных атак, чтобы у жертвы не осталось никаких сомнений в том, что её данные попали в руки злоумышленников», — подчёркивает Седрик Пернет из Trend Micro.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru