Терминатор: на русскоязычном хакерском форуме предлагают убийцу антивирусов

Терминатор: на русскоязычном хакерском форуме предлагают убийцу антивирусов

Терминатор: на русскоязычном хакерском форуме предлагают убийцу антивирусов

На одном из русскоговорящих хакерских форумов участник под ником Spyboy предлагает инструмент «Terminator». «Фишка» этой тулзы в том, что она якобы отключает любой антивирус, XDR - и EDR-системы. Хотя в CrowdStrike заявили, что это всего лишь очередная реализация концепции Bring Your Own Vulnerable Driver (BYOVD).

Как отмечает ряд специалистов, «Терминатор» способен обходить 24 различные антивирусные программы, а также системы класса EDR и XDR. Интересно, что инструмент может справиться и с Windows Defender, запущенном на Windows 7 и более поздних версиях ОС.

Spyboy установил следующие цены: 300 долларов за обход одного из антивирусных средств и $3000 — за комплексный подход «всё включено».

«Обход следующих EDR нельзя купить отдельно: SentinelOne, Sophos, CrowdStrike, Carbon Black, Cortex, Cylance. Вымогатели и шифровальщики не допускаются, и я не несу ответственность за подобные действия», — пишет Spyboy.

Для использования «Терминатора» у условного киберпреступника должен быть доступ администратора к целевому Windows-компьютеру. Более того, атакующему придётся обманом заставить жертву разрешить запрос от контроля учётных записей пользователей (User Account Control, UAC).

Новую тулзу решил прокомментировать один из инженеров CrowdStrike. В посте на Reddit эксперт заявил, что «Терминатор» просто сбрасывает в систему легитимный и подписанный драйвер уровня ядра Zemana — zamguard64.sys или zam64.sys. Он копируется в директорию C:\Windows\System32\ с рандомным именем от 4 до 10 символов.

После копирования драйвера «Терминатор» загружает его с правами ядра, чтобы убить процессы антивирусов на уровне пользователя. На VirusTotal лишь один антивирусный движок распознал угрозу в драйвере.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Вышла САКУРА 2.37: интеграция с OpenVPN, подключение к серверу по HTTPS

Компания «ИТ-Экспертиза» представила новую версию программного комплекса САКУРА — релиз 2.37. В обновлении есть улучшения в части безопасности, работы агентов, интеграции с инфраструктурой и оптимизации производительности, а также исправления ошибок.

Главные изменения версии 2.37:

Безопасность

Появилась возможность подключать агент САКУРА к серверу по HTTPS. Это повышает защищённость передачи метрик и управляющих команд.

Интеграция с OpenVPN

Обновили механизм учёта сеансов: теперь поддерживается двухфакторная аутентификация и информация о местоположении. В связке OpenVPN + САКУРА + САКУРА 2ФА корректно отображаются данные о локации пользователя в карточке рабочего места и в отчёте «Карта местоположения».

Изменения в работе агента:

  • Добавили возможность централизованно отключать сбор метрик с отдельных агентов — это помогает снижать нагрузку в пиковые периоды.
  • В логировании появились новые уровни — «Отладка» и «Все события», благодаря чему администраторы могут гибко выбирать степень детализации журналов.

Мобильные приложения и 2ФА

В Android-приложении реализовано скрытие пуш-уведомления после подтверждения входа кнопкой «Да, это я».

Оптимизация системы:

  • Ускорена синхронизация САКУРА с Active Directory за счёт сокращения количества запрашиваемых LDAP-атрибутов.
  • Снижена нагрузка на память при выгрузке отчётов — большие отчёты формируются быстрее и меньше нагружают сервер.
  • Оптимизировано массовое обновление агентов: процесс стал быстрее и устойчивее, добавлена возможность продолжить обновление после разрыва соединения.

Исправления ошибок:

  • Настройки frontend теперь может менять только авторизованный пользователь с нужными правами.
  • Исправлена ошибка проверки домена при входе через учётную запись AD.
  • Исправлено отображение адреса сервера в информации о рабочем месте.
  • Исправлено поведение, при котором иногда не сохранялись введённые настройки сервера.
  • Корректно работает фильтр «Метка РМ» в отчёте «Работа пользователей по дням».
  • Исправлена отображаемая дата установки обновлений ОС для Astra Linux.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru