Bilgisayar korsanları, fidye yazılımı saldırıları yaparken antivirüs yazılımını devre dışı bırakmak için son derece popüler Genshin Impact oyunu için bir anti-zincir sistem sürücüsünü kötüye kullanıyor.
Sürücü/modül olan "MHYPRO2.sys", oyunun yüklenmesi için hedef sistemin gerekmez ve bağımsız olarak veya hatta kötü amaçlı yazılımlarda yerleşik olarak çalışabilir, bu da tehdit aktörlerine güvenlik yazılımını devre dışı bırakabilecek güçlü bir güvenlik açığı sunar.
Savunmasız sürücü 2020'den beri bilinmektedir ve herhangi bir süreç/çekirdek belleğine ve en yüksek ayrıcalıkları kullanarak süreçleri sonlandırma yeteneğine erişim sağlar.
Araştırmacılar sorunu geçmişte birçok kez satıcıya bildirdiler. Ancak, kod imzalama sertifikası iptal edilmemiştir, bu nedenle program yine de herhangi bir alarm oluşturmadan Windows'a yüklenebilir.
Daha da kötüsü, 2020'den beri GitHub'da en az iki kavram kanıtı sömürüsü [1, 2], kullanıcı modundan çekirdek modu ayrıcalıkları ile çekirdek belleğinin nasıl okunacağı/yazılacağı/yazılacağı hakkında tüm ayrıntılar vardı. işlemleri sonlandırın.
Trend Micro'nun yeni bir raporunda, araştırmacılar, Temmuz 2022'nin sonundan bu yana bu sürücüyü kötüye kullanan tehdit aktörlerinin kanıtlarını gördüler ve fidye yazılımı aktörleri, aksi takdirde düzgün yapılandırılmış uç nokta koruma çözümlerini devre dışı bırakmak için kullanıyorlar.
Tehdit aktörleri, hedeflenen bir uç noktaya karşı 'SecretsDump' ve 'Wmiexec' kullandı ve daha sonra kapanan yönetici kimlik bilgilerini kullanarak RDP aracılığıyla etki alanı denetleyicisine bağlandı.
Geri ihlal edilen makinede yapılan ilk eylem, mhyprot2.sys'i, sürücüyü yüklemek için kullanılan kötü amaçlı yürütülebilir 'Kill_svc.exe' ile birlikte masaüstüne aktarmaktı.
Ardından, davetsiz misafirler 'Avg.msi'yi düşürdüler, bu da aşağıdaki dört dosyayı düşürür ve yürütür:
Trend Micro, tehdit aktörlerinin saldırıya uğramış iş istasyonundaki dosyaları şifrelemek için üç kez denediğine ve başarısız olduklarını, ancak antivirüs hizmetleri başarıyla devre dışı bırakıldı. Sonunda, rakipler masaüstüne "logon.bat" yı hareket ettirdi ve manuel olarak yürüttü.
Son olarak, tehdit oyuncusu sürücüyü, fidye yazılımı ve 'Kill_svc.exe', daha fazla iş istasyonuna enfekte etmek amacıyla toplu dağıtım için bir ağ paylaşımında yürütülebilir.
Trend Micro, bu saldırılarda fidye yazılımlarının ne kullanıldığını paylaşmadı.
Trend Micro, bilgisayar korsanlarının zincirle mücadele modülünü konuşlandırmasının artabileceği konusunda uyarıyor, satıcı kusuru yanıtlıyor ve düzeltiyor olsa bile, eski versiyonları dolaşmaya devam edecek.
Araştırmacılar, "Kod imzalaması olan bir cihaz sürücüsü olarak istismar edilebilecek bir modül bulmak hala nadirdir."
Güvenlik Araştırması Kevin Beaumont, yöneticilerin, güvenlik çözümlerinde "0466E90BF0E83B776CA8716E01D35A8A2E5F96D3" karma, savunmasız MHYPRO2.sys sürücüsüne karşılık gelen bu tehdide karşı savunabileceğini tavsiye ediyor.
Son olarak, savunucular "MHYPROT2" adlı belirli hizmet kurulumu için olay günlüklerini izlemelidir.
Ransomware'de Hafta - 26 Ağustos 2022 - Geri Dönüş
Lockbit fidye yazılımı çetesi üçlü uzatma taktiği ile agresif olur
Kuantum Fidye Yazılımı Saldırısı Dominik Cumhuriyeti'nde Govt Ajansı'nı bozar
Fidye yazılımı çeteleri 'geri arama' sosyal mühendislik saldırılarına geçiyor
Ransomexx, Sea-Doo, Ski-Doo Maker'a Fidye Yazılımı Saldırısı
Kaynak: Bleeping Computer