Шифровальщик Medusa нашел другой подставной драйвер для обхода EDR

Шифровальщик Medusa нашел другой подставной драйвер для обхода EDR

Шифровальщик Medusa нашел другой подставной драйвер для обхода EDR

В новых атаках Medusa для доставки шифратора в обход EDR-защиты используется вредоносный драйвер, подписанный краденым и уже отозванным сертификатом. В Elastic Security Labs находку нарекли ABYSSWORKER.

Новый зловред (smuol.sys), внедряемый в системы в рамках атаки BYOVD, развертывается вместе с загрузчиком, упакованным с помощью HeartCrypt, и тот затем использует ABYSSWORKER для завершения процессов EDR или перманентного отключения таких средств защиты.

Чтобы избежать обнаружения, вредонос выдает себя за легитимный драйвер CrowdStrike Falcon.

 

Аналитики нашли на VirusTotal десятки артефактов ABYSSWORKER, загруженных в период с 8 августа 2024 года по 25 февраля 2025-го. Все идентифицированные образцы (уровень детектирования на 24 марта — 44/72) подписаны украденными у китайских компаний сертификатами, которые были впоследствии отозваны.

При запуске фейковый CSAgent.sys добавляет ID своего процесса в список подлежащих защите и начинает слушать входящие запросы на управление вводом-выводом, которые затем передает релевантным обработчикам.

Заметим, ранее уже были зафиксированы случаи внедрения Medusa в обход EDR с помощью вредоносных драйверов. Операторы другого шифровальщика, Akira, недавно нашли более простой способ обхода защитных решений этого класса, обнаружив в целевой сети уязвимые IoT-устройства.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ФСБ может стать единственным регулятором шпионских технологий в РФ

ФСБ России подготовила проект президентского указа, наделяющего ее полномочиями по организации учета и импорта-экспорта спецсредств частной разработки, предназначенных для получения информации без ведома ее обладателя.

Предложенные поправки в Положение о ФСБ РФ, по сути, передают контроль над оборотом средств кибершпионажа в одни руки. В настоящее время его осуществляют несколько надзорных ведомств.

Согласно опубликованному документу, в п. 9 Положения (перечень функций ФСБ для решения основных задач) будет добавлен подпункт 22.1 следующего содержания:

«[ФСБ России] устанавливает порядок регистрации и учета специальных технических средств, предназначенных (разработанных, приспособленных, запрограммированных) для негласного получения информации, разрабатываемых, производимых, реализуемых, приобретаемых в целях продажи, ввоза в Российскую Федерацию и вывоза за ее пределы лицами, не уполномоченными на осуществление оперативно-разыскной деятельности, и нормативно-технической документации на их производство и использование».

По мнению опрошенных «Ведомостями» экспертов, к техническим средством шпионажа могут быть причислены устройства для прослушки (микрофоны, диктофоны, специализированные модули VoIP и GSM), устройства для наблюдения (встроенные мини-камеры, IP-камеры удаленного доступа, дроны), GPS-трекеры, биометрические датчики, а также шпионский софт, анализаторы сетевого трафика и системы распознавания лиц / речи.

Бытовые приборы с функциями аудио- и видеозаписи, фотофиксации, геолокации и соответствующей маркировкой к шпионским гаджетам не относятся.

Несанкционированное использование коммерческих спецсредств для слежки в России является уголовно наказуемым деянием и грозит штрафами до 200 тыс. рублей, а в отдельных случаях — даже лишением свободы на срок до четырех лет (ст. 138.1 УК РФ).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru