Sophos 的研究人員 Andreas Klopsch 在上周發(fā)布的一份報告中聲稱："AuKill 工具濫用了微軟實用程序 Process Explorer 版本 16.32 所使用的過時驅(qū)動程序，在目標系統(tǒng)上部署后門或勒索軟件之前禁用了 EDR 進程。"
(資料圖片僅供參考)
這家網(wǎng)絡安全公司分析的事件顯示，自 2023 年初以來，AuKill 被用于部署各個勒索軟件變種，比如 Medusa Locker 和 LockBit。到目前為止，已經(jīng)確定了六個不同的惡意軟件變種。最古老的 AuKill 樣本其編譯時間戳顯示為 2022 年 11 月。
BYOVD 技術(shù)依賴威脅分子濫用由微軟簽名的合法但過時且可利用的驅(qū)動程序（或者使用被盜或泄露的證書） ) ，以獲得提升的特權(quán)，并關(guān)閉安全機制。
其想法是，通過使用有效的、易受影響的驅(qū)動程序，繞過一項關(guān)鍵的 Windows 保護措施：驅(qū)動程序簽名強制（DSE），該措施確保內(nèi)核模式驅(qū)動程序在允許運行之前已由有效的代碼簽名機構(gòu)簽名。
Klopsch 特別指出："AuKill 工具需要管理權(quán)限才能正常工作，但它無法為攻擊者賦予這些特權(quán)。使用 AuKill 的威脅分子在攻擊期間充分利用了現(xiàn)有的特權(quán)，他們通過其他手段獲得了這些特權(quán)。"
這并不是微軟簽名的 Process Explorer 驅(qū)動程序第一次淪為攻擊武器了。2022 年 11 月，Sophos 也詳細披露了 LockBit 加盟組織使用一種名為 Backstab 的開源工具，該工具濫用這個驅(qū)動程序的過時版本來終止受保護的反惡意軟件進程。
今年早些時候發(fā)現(xiàn)了一起惡意廣告活動，該活動利用同一個驅(qū)動程序作為感染鏈的一部分，以分發(fā)一個名為 MalVirt 的 .NET 加載程序，從而部署竊取信息的 FormBook 惡意軟件。
與此同時，AhnLab 安全應急響應中心（ASEC）透露，管理不善的 MS-SQL 服務器正淪為一種攻擊武器，被用來安裝 Trigona 勒索軟件，該勒索軟件與另一種名為 CryLock 的勒索軟件有關(guān)聯(lián)。
此外，Play 勒索軟件（又名 PlayCrypt）威脅分子使用定制的數(shù)據(jù)收集工具，從而枚舉被感染網(wǎng)絡上的所有用戶和計算機，并從卷影復制服務（VSS）復制文件。
Grixba 是一種基于 .NET 的信息竊取惡意軟件，旨在掃描機器上的安全程序、備份軟件和遠程管理工具，并以 CSV 文件的形式泄露收集到的數(shù)據(jù)，這些文件隨后被壓縮成 ZIP 文件包。
這伙網(wǎng)絡犯罪團伙還使用了用 .NET 編寫的 VSS 復制工具（被賽門鐵克編號為 Balloonfly），該工具利用 AlphaVSS 框架列出 VSS 快照中的文件和文件夾，并在加密之前將它們復制到目標目錄。
Play 勒索軟件臭名昭著，不僅用間歇性加密來加快這一過程，而且還并不基于勒索軟件即服務（RaaS）模式來運作。迄今為止收集到的證據(jù)表明，Ballonfly 不僅自行開發(fā)惡意軟件，還實施了勒索軟件攻擊。
勒索軟件威脅分子使用一大批專有工具（比如 Exmatter、Exbyte 和基于 PowerShell 的腳本）更牢牢地控制其實施的攻擊活動，同時還增添了額外的復雜性，以便在被感染的環(huán)境中持續(xù)存在并逃避檢測，而 Grixba 和 VSS 復制工具正是這類最新的工具。
越來越被以牟利為動機的團伙采用的另一種技術(shù)是，使用 Go 編程語言來開發(fā)跨平臺惡意軟件，并阻礙分析和逆向工程工作。
的確，Cyble 上周的一份報告記錄了一種名為 CrossLock 的新型 GoLang 勒索軟件，該勒索軟件采用雙重勒索技術(shù)加大受害者支付贖金的可能性，同時采取措施以規(guī)避 Windows 事件跟蹤（ETW）機制。
Cyble 表示：" 這種功能可以使惡意軟件避免被依賴事件日志的安全系統(tǒng)檢測出來。CrossLock 勒索軟件還會采取幾個措施來減小數(shù)據(jù)恢復的機會，同時提高攻擊的有效性。"
關(guān)鍵詞：
