Шифровальщик Medusa нашел другой подставной драйвер для обхода EDR

Шифровальщик Medusa нашел другой подставной драйвер для обхода EDR

Шифровальщик Medusa нашел другой подставной драйвер для обхода EDR

В новых атаках Medusa для доставки шифратора в обход EDR-защиты используется вредоносный драйвер, подписанный краденым и уже отозванным сертификатом. В Elastic Security Labs находку нарекли ABYSSWORKER.

Новый зловред (smuol.sys), внедряемый в системы в рамках атаки BYOVD, развертывается вместе с загрузчиком, упакованным с помощью HeartCrypt, и тот затем использует ABYSSWORKER для завершения процессов EDR или перманентного отключения таких средств защиты.

Чтобы избежать обнаружения, вредонос выдает себя за легитимный драйвер CrowdStrike Falcon.

 

Аналитики нашли на VirusTotal десятки артефактов ABYSSWORKER, загруженных в период с 8 августа 2024 года по 25 февраля 2025-го. Все идентифицированные образцы (уровень детектирования на 24 марта — 44/72) подписаны украденными у китайских компаний сертификатами, которые были впоследствии отозваны.

При запуске фейковый CSAgent.sys добавляет ID своего процесса в список подлежащих защите и начинает слушать входящие запросы на управление вводом-выводом, которые затем передает релевантным обработчикам.

Заметим, ранее уже были зафиксированы случаи внедрения Medusa в обход EDR с помощью вредоносных драйверов. Операторы другого шифровальщика, Akira, недавно нашли более простой способ обхода защитных решений этого класса, обнаружив в целевой сети уязвимые IoT-устройства.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Басманный суд заочно арестовал Сергея Мацоцкого по делу о взятке

Басманный суд Москвы заочно арестовал одного из основателей компании IBS, бывшего члена совета директоров Альфа-банка и «Вымпелкома» Сергея Мацоцкого. Решение принято по ходатайству следствия в рамках уголовного дела о даче взятки в особо крупном размере.

Об этом сообщил «Интерфакс». Подробности уголовного дела официально не раскрываются. По оценке телеграм-канала Mash, Мацоцкому может грозить до 15 лет лишения свободы.

«Постановлением Басманного районного суда города Москвы удовлетворено ходатайство органов предварительного расследования об избрании меры пресечения в виде заключения под стражу в отношении Мацоцкого Сергея Савельевича, обвиняемого в совершении преступлений, предусмотренных ч. 5 ст. 291 УК РФ, меру пресечения в виде заключения под стражу на срок 2 месяца с момента его экстрадиции на территорию Российской Федерации либо с момента его задержания на территории Российской Федерации», — говорится в официальном сообщении судов общей юрисдикции Москвы.

Сергей Мацоцкий — один из основателей ИТ-интегратора IBS. В 2020 году он покинул компанию и создал инвестиционный холдинг «ГС-Инвест». Мацоцкого называют одной из влиятельных фигур в российской ИТ-отрасли. Его состояние оценивается в 14,5 млрд рублей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru