Microsoft добавила в Sysmon детектирование внедрения в процессы Windows

Microsoft добавила в Sysmon детектирование внедрения в процессы Windows

Microsoft выпустила версию утилиты Sysmon под номером 13, которая отметилась интересной функцией для борьбы с действиями вредоносных программ. Теперь инструмент может выявлять несанкционированное внедрение в процессы операционной системы Windows.

Киберпреступники часто прибегают к инъекции вредоносного кода в легитимные процессы, что помогает им избежать детектирования антивирусными средствами. То есть по факту вредоносная программа выполняется, а в Диспетчере задач Windows мы видим стандартный процесс ОС.

Например, злоумышленники используют технику «process hollowing» («выдалбливание процесса»), подразумевающую, что вредонос запускает легитимный процесс, а затем подменяет безобидный код злонамеренным. Таким образом, код зловреда выполняется с полными правами процесса-родителя.

«Process herpaderping» — более сложный метод, с помощью которого вредоносная программа модифицирует свой образ на диске, маскирую его под легитимный софт. В этом случае антивирусные средства, сканируя диск, увидят лишь безопасный файл, хотя в память будет загружен вредоносный код.

Многие известные зловреды успешно используют технику внедрения в легитимные процессы. Среди них можно отметить программу-вымогатель Mailto/defray777, а также бэкдоры TrickBot и BazarBackdoor.

Для борьбы с этими методами Microsoft выпустила новую версию утилиты Sysmon, входящей в набор Sysinternals. Инструмент можно скачать со страницы Sysinternal или по прямой ссылке.

Чтобы активировать детектирование внедрения в процессы, администраторам нужно добавить опцию «ProcessTampering» в файл конфигурации:

<Sysmon schemaversion="4.50">
  <EventFiltering>
    <RuleGroup name="" groupRelation="or">
      <ProcessTampering onmatch="exclude">
      </ProcessTampering>
    </RuleGroup>
  </EventFiltering>
</Sysmon>
Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Kaspersky: Вымогатели атаковали 9 тыс. корпоративных компьютеров в России

По словам «Лаборатории Касперского», глобальная система информирования о киберугрозах Kaspersky Threat Intelligence зафиксировала 9 193 корпоративных компьютеров в России, ставших целью для операторов шифровальщиков. Эту цифру аналитики получили за период с января по июль 2021 года.

Чаще всего программы-вымогатели атакуют организации стран СНГ через протокол удалённого доступа (Remote Desktop Protocol, RDP). Задача злоумышленника — подобрать учётные данные и запустить шифровальщик вручную.

Также специалисты «Лаборатории Касперского» отметили, что большая часть подобных вредоносных программ распространяется по модели «вымогатель как услуга» (Ransomware-as-a-service, RaaS). В 2020 году число киберинцидентов с участием операторов шифровальщиков заметно выросло, а в 2021 году тренд продолжил своё развитие.

«Новые семейства программ-вымогателей появляются регулярно. Только за второй квартал 2021 года мы выявили 14 новых семейств этих вредоносов. Их операторы атакуют компании разного размера и уровня дохода, даже малый и средний бизнес находятся в зоне риска», — объясняет Владимир Кусков, возглавляющий отдел исследования сложных киберугроз «Лаборатории Касперского».

Напомним, что аналитики Group-IB выяснили, что более 77% российских предпринимателей не готовы платить выкуп операторам шифровальщиков. Причём большинство считает, что их компании недостаточно защищены от этой киберугрозы.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru