Вредонос RobbinHood борется с антивирусами с помощью драйвера Gigabyte

Вредонос RobbinHood борется с антивирусами с помощью драйвера Gigabyte

Вредонос RobbinHood борется с антивирусами с помощью драйвера Gigabyte

Распространяющие шифровальщик RobbinHood киберпреступники эксплуатируют уязвимость в драйвере Gigabyte для установки своего вредоносного неподписанного драйвера, предназначенного для отключения антивирусных продуктов.

Таким образом, перед началом шифрования злоумышленники пытаются деактивировать все установленные на рабочих станциях защитные решения.

В обычных условиях процессы защитных механизмов в системах Windows можно завершить только с помощью драйверов уровня ядра. Чтобы уберечь пользователей от таких атак, Microsoft внедрила механизм проверки подписи — только подписанные корпорацией драйверы можно установить в систему.

Теперь же исследователи из компании Sophos описали новую технологию, используемую киберпреступниками для распространения вымогателя RobbinHood.

Первым делом атакующие инсталлируют в систему известный уязвимый драйвер Gigabyte (GDRV.SYS), подписанный Microsoft, а затем задействуют брешь в нём для отключения функции проверки подписи драйверов.

Уязвимость отслеживается под идентификатором CVE-2018-19320, она затрагивает ныне устаревший набор программного обеспечения Gigabyte. В описанных Sophos атаках преступники задействовали исполняемый файл Steel.exe.

Список подлежащих завершению антивирусных процессов находится в файле PLIST.TXT, к которому, к сожалению, исследователи не смогли получить доступ.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Импортозамещение у операторов ПДн грозит ростом числа сбоев на 40-50%

По итогам стресс-анализа, проведённого «Монк Диджитал Лаб», в первые два года после начала масштабного перехода российских операторов персональных данных на отечественное программное обеспечение число сбоев может вырасти на 40–50% по сравнению с уровнем 2024 года.

Это приведёт к росту числа инцидентов — включая простои онлайн-сервисов, задержки в бизнес-процессах и утечки персональных данных.

Принудительное импортозамещение затронет около полумиллиона компаний. Всего, по данным Роскомнадзора, в России зарегистрировано свыше 2,3 млн операторов персональных данных.

Каждый четвёртый из них использует иностранное ПО для обработки персональных данных — в том числе СУБД, ERP, CRM и биллинговые системы. Эти системы, как правило, лежат в основе ключевых бизнес-процессов. Кроме того, как подчёркивают в «Монк Диджитал Лаб», сам масштаб предстоящей миграции беспрецедентен — не только для России, но и по мировым меркам.

Уже в 2024 году компания зафиксировала рост числа инцидентов на 25% — в связи с переводом рядом компаний своих цифровых сервисов на отечественные решения. При экстраполяции этих данных рост числа сбоев на уровне 40–50% представляется, по словам аналитиков, скорее осторожной оценкой.

Ключевые факторы риска, по мнению «Монк Диджитал Лаб», включают:

  • высокие трудозатраты на интеграцию и донастройку российских решений, особенно для малого и среднего бизнеса;
  • сжатые сроки внедрения, мешающие полноценному тестированию и отладке;
  • дефицит специалистов, знакомых с унаследованными и отечественными ИТ-системами.

Аналитики рекомендуют заранее создать единый контур российской observability-платформы, до начала массовой миграции прикладных сервисов. Такая система должна «из коробки» работать с отечественными ОС, СУБД, облачными стеками и ключевыми программными продуктами, поддерживать корреляцию событий и автоматизацию реакций — чтобы фиксировать только действительно важные инциденты. В противном случае возможен резкий всплеск аварий, способный перерасти в затяжной ИТ-кризис и парализовать работу компаний.

«Сегодня для отрасли важен не просто импортозамещённый код, а управляемый процесс эксплуатации. Без сквозной наблюдаемости рост числа аварий будет лавинообразным: каждая изолированная проблема будет множиться при каскадных отказах сервисов. Российская мониторинговая платформа, способная видеть весь локальный стек, — единственный реальный способ сохранить цифровую устойчивость к 2027 году», — отметил Николай Ганюшкин, управляющий партнёр «Монк Диджитал Лаб».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru