Ransomware Bande setzt Sicherheitslösungen außer Gefecht

Ransomware Bande setzt Sicherheitslösungen außer Gefecht

• Spezielle Schadsoftware hebelt Schutzprogramme aus und verschlüsselt Dateien

Jena, PTS, 30. Oktober 2024

#Cyberkriminelle finden immer neue Wege, um an ihr Ziel zu kommen. Einen besonders heimtückischen haben #Forscher von #ESET jetzt entdeckt: Die im Juni 2024 beobachtete #Ransomware Gruppe #Embargo nutzt raffinierte Schadsoftware, mit der sie bestimmte Endpoint Detection and Response(EDR) Lösungen aushebeln und deaktivieren kann. Möglich macht dies die geschickte Ausnutzung des abgesicherten Modus und eines anfälligen Treibers. Ist die Sicherheitssoftware erst einmal lahmgelegt, stehlen die Kriminellen wertvolle Daten vom Rechner und verschlüsseln sie. Zudem drohen sie mit der Veröffentlichung der gestohlenen Informationen und fordern Lösegeld.

Anwender der EDR und MDR Lösungen von ESET sind davon nicht betroffen und sicher

»Embargo ist eine gut ausgerüstete Gruppe«, erklärt #ESET #Forscher Jan Holman, zusammen mit seinem Kollegen Tomáš Zvara die Untersuchung durchgeführt hat. »Gleichzeitig steht sie aber noch am Anfang ihrer zweifelhaften Karriere und beginnt gerade erst, ihre Marke aufzubauen. Außerdem gehen wir davon aus, dass es sich bei Embargo um einen Ransomware as a Service Anbieter handelt, der seine Dienste Partnern anbietet.«

2 Werkzeuge reichen für einen erfolgreichen Angriff

Die #Hacker setzen im aktuellen Fall auf 2 Werkzeuge: einen Loader (»MDeployer«), also ein Programm, das nach seiner Installation weiteren Code nachladen und ausführen kann, und einen EDR Killer (»MS4Killer«). Dabei handelt es sich um eine Schadsoftware, die Sicherheitssoftware auf den Ziel #Computern deaktivieren soll. Diese Taktik kommt bei mehreren Ransomware Gruppen zum Einsatz.

»MDeployer« missbraucht den abgesicherten Modus, um Sicherheitslösungen zu deaktivieren. Hierfür führt der Loader »MS4Killer« aus, ein typisches Werkzeug, mit dem sich die Verteidigung eines Computers umgehen lässt: Mit Hilfe der sogenannten Bring your own vulnerable driver (BYOVD) Technik beendet es Prozesse von solchen EDR Lösungen. Dies gelingt, indem das Werkzeug signierte, anfällige Kernel Treiber missbraucht, um eigenen Programm Code auszuführen.

Ransomware Banden greifen häufig auf BYOVD Werkzeuge zurück, um die Software zu manipulieren, die die angegriffene Infrastruktur schützt. Nachdem sie diese Schutzmechanismen deaktiviert haben, installieren die Hacker dann die Ransomware – und das ohne Gefahr, entdeckt zu werden. Die Hacker können ihre Werkzeuge sogar während des Angriffs an bestimmte Sicherheitslösungen anpassen, um diese zu umgehen. Die Werkzeuge sind in der Programmiersprache Rust geschrieben.

Weitere Informationen im Blogpost »Embargo ransomware: Rock ’n’ Rust« auf www.welivesecurity.com/de.