Вымогатели используют драйвер Process Explorer для отключения EDR-систем

Вымогатели используют драйвер Process Explorer для отключения EDR-систем

Вымогатели используют драйвер Process Explorer для отключения EDR-систем

Киберпреступники используют инструмент AuKill для отключения EDR-систем (Endpoint Detection & Response) на устройствах жертв. После этого атакующие могут свободно устанавливать бэкдоры и шифровальщики с помощью концепции «принеси собственный уязвимый драйвер» (Bring Your Own Vulnerable Driver — BYOVD).

В подобных атаках злоумышленники копируют в систему легитимный подписанный драйвер (обязательно с валидным сертификатом), способный работать с правами ядра. Высокие привилегии нужны для отключения защитных решений и получения контроля над ОС.

На вредонос AuKill обратили внимание исследователи из команды Sophos X-Ops. В ходе атак операторы сбрасывают на устройство системный драйвер Windows — procexp.sys, размещая его рядом с тем, который использует легитимная утилита Process Explorer v16.32.

Затем зловред проверяет наличие прав SYSTEM. Если их нет, он имитирует службу TrustedInstaller Windows Modules Installer для повышения привилегий. Чтобы отключить защитные продукты, AuKill стартует несколько потоков, задача которых — завершать работу определенных процессов и служб.

В реальных атаках участвуют сразу несколько версий AuKill. Некоторые из них фигурировали в кампаниях по распространению программ-вымогателей Medusa Locker и LockBit.

«С начала 2023 года обнаруженный инструмент использовался как минимум в трёх инцидентах с участием программ-вымогателей. В январе и феврале атакующие развернули Medusa Locker с помощью AuKill, также в феврале тулза использовалась в связке с Lockbit», — пишут исследователи.

Дело ФАС против Apple не превратит iPhone россиян в кирпичи

Возбуждённое ФАС дело против Apple никак не повлияет на работу iPhone и других устройств компании в России. Гаджеты продолжат работать как раньше, заявил зампред комитета Госдумы по информполитике Андрей Свинцов. Антимонопольная служба взялась за американскую корпорацию из-за неисполненного предупреждения.

Apple должна была обеспечить предустановку на устройства с iOS национального мессенджера и российского магазина приложений.

Возможность выбрать отечественную поисковую систему корпорация реализовала, а с остальными требованиями, по версии ФАС, не справилась.

Однако владельцам iPhone можно выдохнуть: блокировать устройства, превращать их в дорогие пресс-папье или устраивать другие технические сюрпризы никто не собирается.

По словам Свинцова, которые передаёт ТАСС, действия ФАС, Роскомнадзора и других ведомств направлены на фиксацию нарушений и последующее взыскание штрафов с Apple.

Депутат пояснил, что судебные решения будут действовать до тех пор, пока компания не решит полноценно вернуться на российский рынок. Перед возобновлением легальной работы ей придётся сначала погасить накопившиеся штрафы.

Свинцов считает такой подход правильным: если Apple вернётся, выплаты пополнят российский бюджет. А пока претензии государства остаются исключительно проблемой самой корпорации.

Так что никакого дистанционного апокалипсиса для iPhone не предвидится. ФАС выписывает счёт Apple, а не её российским пользователям.

RSS: Новости на портале Anti-Malware.ru