Το Medusa Ransomware αναπτύσσει κακόβουλο πρόγραμμα οδήγησης για να παρακάμψει την ασφάλεια

Όσον αφορά τις απειλές ransomware, η ομάδα ransomware Medusa έχει ένα μακρύ και διαβόητο ιστορικό επιτυχούς διείσδυσης σε οργανισμούς και ανάπτυξης μιας στρατηγικής διπλού εκβιασμού για να πιέσει τα θύματα να πληρώσουν. Αυτή η προσέγγιση διπλού εκβιασμού περιλαμβάνει πρώτα την κρυπτογράφηση των ευαίσθητων δεδομένων σας και στη συνέχεια την απειλή δημόσιας δημοσίευσής τους, προκαλώντας αμηχανία, απώλεια πελατών και σημαντική βλάβη στη φήμη και την καλή φήμη της εταιρείας σας.

Σε μια πρόσφατη εξέλιξη, η ομάδα ransomware Medusa απέκτησε ένα ληγμένο πιστοποιητικό υπογραφής λογισμικού, επιτρέποντάς της να δημιουργήσει ένα πρόγραμμα οδήγησης κακόβουλου λογισμικού γνωστό ως ABYSSWORKER. Επειδή αυτό το κακόβουλο λογισμικό είναι ψηφιακά υπογεγραμμένο, οι χρήστες μπορούν να το εγκαταστήσουν άθελά τους χωρίς να λαμβάνουν τυπικές προειδοποιήσεις ασφαλείας σχετικά με μη υπογεγραμμένο λογισμικό. Αυτό το υπογεγραμμένο πρόγραμμα οδήγησης βοηθά επίσης το κακόβουλο λογισμικό να αποφύγει πολλές λύσεις ασφαλείας που έχουν σχεδιαστεί για την ανίχνευση μη υπογεγραμμένων απειλών. Μόλις εγκατασταθεί, το ABYSSWORKER απενεργοποιεί ειδικά πολλαπλές λύσεις κατά του κακόβουλου λογισμικού, ανοίγοντας τον δρόμο για επιτυχημένες επιθέσεις ransomware.

Κατανόηση του προγράμματος οδήγησης ABYSSWORKER

Το πρόγραμμα οδήγησης ABYSSWORKER είναι ένα κακόβουλο στοιχείο που έχει σχεδιαστεί για να μιμείται νόμιμο λογισμικό, συγκεκριμένα το πρόγραμμα οδήγησης CrowdStrike Falcon (“CSAgent.sys”). Χρησιμοποιώντας ένα ανακληθέν πιστοποιητικό υπογραφής κώδικα, αυτό το πρόγραμμα οδήγησης αποκτά μη εξουσιοδοτημένη πρόσβαση στους πυρήνες του συστήματος, παρακάμπτοντας αποτελεσματικά πολλαπλά μέτρα ασφαλείας.

Μηχανισμός δράσης

Μόλις αναπτυχθεί, το ABYSSWORKER εκτελεί διάφορες κρίσιμες λειτουργίες:

• Προστασία διεργασιώνΠροσθέτει το αναγνωριστικό διεργασίας του σε μια λίστα με παγκοσμίως προστατευμένες διεργασίες, καθιστώντας το ανθεκτικό στον τερματισμό.
• Χειρισμός ελέγχου εισόδου/εξόδουΤο πρόγραμμα οδήγησης ακούει για εισερχόμενα αιτήματα ελέγχου εισόδου/εξόδου συσκευής και τα αποστέλλει στους κατάλληλους χειριστές με βάση τους κωδικούς ελέγχου εισόδου/εξόδου.
• Διαταραχή EDRΜπορεί να χειριστεί αρχεία και διεργασίες για να τερματίσει ή να απενεργοποιήσει μόνιμα Ανίχνευση και απόκριση τελικού σημείου (EDR) συστήματα, τυφλώνοντας ουσιαστικά τα μέτρα ασφαλείας.

Επιπτώσεις για την κυβερνοασφάλεια

Η χρήση τέτοιων εξελιγμένων τεχνικών από την ομάδα ransomware Medusa θέτει σημαντικές προκλήσεις:

• Ενισχυμένο StealthΑπενεργοποιώντας τα εργαλεία ασφαλείας, οι εισβολείς μπορούν να λειτουργούν απαρατήρητοι, αυξάνοντας την πιθανή ζημιά.
• Πρόσβαση σε επίπεδο πυρήναΗ απόκτηση πρόσβασης στον πυρήνα επιτρέπει στους εισβολείς να εκτελούν προνομιακές ενέργειες, καθιστώντας την αποκατάσταση πιο περίπλοκη.

Συστάσεις για Οργανισμούς

Για τον μετριασμό των κινδύνων που σχετίζονται με αυτήν την προηγμένη απειλή:

1. Εκπαίδευση και δοκιμή χρηστών με προσομοιώσεις ηλεκτρονικού "ψαρέματος" (phishing):  Κακόβουλα προγράμματα οδήγησης όπως το ABYSSWORKER συχνά παραδίδονται μέσω email ηλεκτρονικού "ψαρέματος" (phishing) που ισχυρίζονται ότι ένα πρόγραμμα οδήγησης συσκευής είναι παρωχημένο και πρέπει να ενημερωθεί για βέλτιστη απόδοση. Εκπαιδεύοντας τακτικά τους χρήστες να αναγνωρίζουν ύποπτα email και δοκιμάζοντας την ικανότητά τους να εντοπίζουν απόπειρες ηλεκτρονικού "ψαρέματος" (phishing), τους δίνετε τη δυνατότητα να διαγράφουν με σιγουριά αυτά τα δόλια μηνύματα χωρίς να αλληλεπιδρούν με κακόβουλους συνδέσμους ή συνημμένα.
2. Τακτική ενημέρωση συστημάτωνΒεβαιωθείτε ότι όλα τα λειτουργικά συστήματα, το λογισμικό και το υλικολογισμικό είναι ενημερωμένα και ενημερωμένα για να κλείσετε γνωστά τρωτά σημεία.
3. Κατάργηση δικαιωμάτων διαχειριστή: Ακόμη και οι εγκαταστάσεις λογισμικού και προγραμμάτων οδήγησης με υπογραφή συνήθως απαιτούν δικαιώματα διαχειριστή. Περιορίζοντας τα δικαιώματα διαχειριστή από τους περισσότερους χρήστες, ο οργανισμός σας μπορεί να αποτρέψει αποτελεσματικά πολλές από αυτές τις κακόβουλες εγκαταστάσεις και να μειώσει τον κίνδυνο επιτυχημένων επιθέσεων.
4. (Προηγμένη) Τμηματοποίηση ΔικτύουΔιαχωρίστε τα δίκτυα για να περιορίσετε την πλευρική κίνηση και να περιορίσετε πιθανές παραβιάσεις.
5. Παρακολούθηση για ανωμαλίεςΑναπτύξτε προηγμένα εργαλεία παρακολούθησης για την ανίχνευση ασυνήθιστων δραστηριοτήτων που υποδηλώνουν τέτοιες εξελιγμένες επιθέσεις.

Υιοθετώντας αυτά τα προληπτικά μέτρα ασφαλείας, οι οργανισμοί μπορούν να αμυνθούν καλύτερα έναντι εξελισσόμενων απειλών, όπως τα προγράμματα οδήγησης ABYSSWORKER από την ομάδα ransomware Medusa.

Ασφαλίστε την επιχείρησή σας με το CyberHoot σήμερα!!!

Εγγραφείτε τώρα

Δεν είστε έτοιμοι να εγγραφείτε ακόμα, αλλά θέλετε να μάθετε περισσότερα; Παρακολουθήστε το μηνιαίο διαδικτυακό μας σεμινάριο για να δείτε μια επίδειξη του CyberHoot, να κάνετε ερωτήσεις και να μάθετε τι νέο υπάρχει. Κάντε κλικ στο Πράσινο Πλαίσιο παρακάτω για να Εγγραφείτε. Θέλετε, το νιώθω!

Εγγραφή σεμιναρίου

 Πρόσθετες Πληροφορίες:

• Ειδήσεις AP: Οι υπεύθυνοι κυβερνοασφάλειας προειδοποιούν για πιθανώς δαπανηρές επιθέσεις ransomware Medusa
• Το νέο του χάκερ: Το Medusa Ransomware χρησιμοποιεί κακόβουλο πρόγραμμα οδήγησης για να απενεργοποιήσει το Anti-Malware με κλεμμένα πιστοποιητικά