Вымогатели используют драйвер Process Explorer для отключения EDR-систем

Вымогатели используют драйвер Process Explorer для отключения EDR-систем

Вымогатели используют драйвер Process Explorer для отключения EDR-систем

Киберпреступники используют инструмент AuKill для отключения EDR-систем (Endpoint Detection & Response) на устройствах жертв. После этого атакующие могут свободно устанавливать бэкдоры и шифровальщики с помощью концепции «принеси собственный уязвимый драйвер» (Bring Your Own Vulnerable Driver — BYOVD).

В подобных атаках злоумышленники копируют в систему легитимный подписанный драйвер (обязательно с валидным сертификатом), способный работать с правами ядра. Высокие привилегии нужны для отключения защитных решений и получения контроля над ОС.

На вредонос AuKill обратили внимание исследователи из команды Sophos X-Ops. В ходе атак операторы сбрасывают на устройство системный драйвер Windows — procexp.sys, размещая его рядом с тем, который использует легитимная утилита Process Explorer v16.32.

Затем зловред проверяет наличие прав SYSTEM. Если их нет, он имитирует службу TrustedInstaller Windows Modules Installer для повышения привилегий. Чтобы отключить защитные продукты, AuKill стартует несколько потоков, задача которых — завершать работу определенных процессов и служб.

В реальных атаках участвуют сразу несколько версий AuKill. Некоторые из них фигурировали в кампаниях по распространению программ-вымогателей Medusa Locker и LockBit.

«С начала 2023 года обнаруженный инструмент использовался как минимум в трёх инцидентах с участием программ-вымогателей. В январе и феврале атакующие развернули Medusa Locker с помощью AuKill, также в феврале тулза использовалась в связке с Lockbit», — пишут исследователи.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Еще одна турецкая авиакомпания ограничила провоз пауэрбанков

Турецкий лоукостер AJet запретил пассажирам пользоваться пауэрбанками во время полета. Перевозка устройств мощностью свыше 100 Вт·ч теперь допускается только с разрешения авиакомпании, а более 160 Вт·ч — исключительно в багаже и при соблюдении дополнительных условий.

О запрете сообщил телеканал TRT Haber. Ранее аналогичные меры ввела авиакомпания Pegasus.

«По рекомендации Генерального управления гражданской авиации Турции (SHGM) запрещено использование во время полета портативных зарядных устройств (пауэрбанков) с литиевыми батареями мощностью до 100 Вт·ч, электронных сигарет, запасных или внешних аккумуляторов. Их можно перевозить только в ручной клади», — цитирует телеканал выдержку из официального сообщения перевозчика.

Пауэрбанки повышенной мощности можно провозить только при наличии разрешения авиакомпании. Если емкость устройства превышает 160 Вт·ч, перевозка разрешена исключительно в багаже и в специальной упаковке.

Причиной ужесточения правил стала ситуация на рейсе Asiana Airlines Стамбул — Сеул 29 июля: потерянный в самолете пауэрбанк привел к вынужденной посадке в Казахстане. После этого министр транспорта и инфраструктуры Турции Абдулкадир Уралоглу рекомендовал ввести более строгие требования к перевозке внешних аккумуляторов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru