Вымогатель BlackCat начал использовать драйвер Windows уровня ядра

Вымогатель BlackCat начал использовать драйвер Windows уровня ядра

Вымогатель BlackCat начал использовать драйвер Windows уровня ядра

Операторы программы-вымогателя BlackCat (другое имя — ALPHV) недавно начали использовать подписанные драйверы Windows уровня ядра для обхода защитных программ. Таким образом, атаки BlackCat стали ещё более изощрёнными.

На новый метод обратили внимание специалисты Trend Micro. Оказалось, что это улучшенная версия вредоноса POORTRY, который был замечен в атаках других шифровальщиков в прошлом году.

POORTRY представляет собой драйвер уровня ядра Windows, подписанный с помощью украденных ключей, принадлежащих легитимным аккаунтам программы Microsoft Windows Hardware Developer.

Такой драйвер помогает уходить от детектирования антивирусными программами, поскольку работал на уровне ядра с наивысшими привилегиями в системе. Фактически POORTRY можно использовать для завершения любого процесса.

Как отметили в Trend Micro, операторы вымогателя пытались использовать старую версию POORTRY, подписанную Microsoft, но после отзыва скомпрометированных ключей антивирусы начали неплохо детектировать его.

Однако новый драйвер, замеченный в кампаниях BlackCat, помогает злоумышленникам повысить права. В систему он попадает под именем ktgn.sys и сбрасывается во временную папку %Temp%. Далее драйвер запускается с помощью софта уровня пользователя — исполняемый файл tjr.exe.

По словам экспертов, цифровая подпись ktgn.sys уже отозвана, однако драйверу всё равно удаётся без проблем загрузиться в 64-разрядных системах Windows.

«Исходя из нашего анализа активности вредоносного драйвера, мы отметили, что он задействует только один из кодов Device Input и Output Control (IOCTL) — Kill Process. Этот код используется непосредственно для завершения процессов защитных программ, установленных в системе», — пишет в отчёте Trend Micro.

 

Напомним, в этом месяце мы писали о выходе дешифратора для для жертв вымогателей BlackCat, Play, DarkBit, Agenda.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Лаборатория Касперского увеличила долю в капитале Ximi Pro до 90%

«Лаборатория Касперского» увеличила свою долю в уставном капитале компании Ximi Pro, специализирующейся на защите контейнерных ИТ-инфраструктур. Согласно данным ЕГРЮЛ, антивирусный вендор довёл своё участие с 49% до 90%, существенно усилив контроль над разработчиком.

Сделка подтверждает стратегический интерес «Лаборатории Касперского» к развитию решений в области контейнерной безопасности.

Ximi Pro занимается обеспечением безопасности контейнеризованной ИТ-инфраструктуры. Её основным продуктом является решение Tron.

Как сообщает «Интерфакс», оставшиеся доли в Ximi Pro «Лаборатория Касперского» приобрела у сооснователей компании Михаила Тайнова и Артёма Товбина. Их доли сократились до 5,5% и 4,5% соответственно. Первоначально 49% капитала Ximi Pro были приобретены в феврале 2023 года.

«Компания продолжает инвестировать в наиболее перспективные направления информационной безопасности; Kaspersky Container Security представляет одно из них», — прокомментировал сделку технический директор «Лаборатории Касперского» Артём Иванов. — «Продажи нашего продукта для безопасности контейнерных инфраструктур показывают уверенный рост на домашнем и глобальном рынках».

«Наибольший спрос в рамках международных продаж Kaspersky Container Security мы видим в регионах Ближнего Востока, где наш продукт успешно выдерживает конкуренцию с международными лидерами индустрии. Мы продолжаем активное развитие данного продукта, и уже в этом году в нём появится функционал на базе искусственного интеллекта, который значительно упростит процесс безопасной настройки контейнерной инфраструктуры».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru