По-тих начин да заслепиш защитите си

Ransomware операторите отдавна се опитват да убият софтуера за сигурност преди да започнат атака, изключвайки антивирусни инструменти, агенти за откриване и отговор на крайни точки (EDR) и услуги за архивиране, така че нищо да не пречи на шифрирането. Но ново поколение инструменти, наричани понякога „ransomware killers“, възприема по-фин подход. Вместо изцяло да прекратят даден процес на сигурност, тези инструменти хирургически презаписват паметта на процеса, като оставят приложението технически работещо.

Разликата е по-съществена, отколкото звучи. Когато даден процес на сигурност бъде убит, той обикновено изчезва от списъка с процеси в системата и много организации имат наблюдение, специално настроено да сигнализира за такова изчезване. Услуга-наблюдател, управляваща конзола или правило за аларма могат да уловят момента, в който антивирусният процес спре да отговаря, и да вдигнат тревога. Презаписвайки паметта на този процес обаче, атакуващите могат да неутрализират способността му да открива или реагира на заплахи, докато самият процес все още изглежда активен за всеки, който погледне в диспечера на задачите или направи основна проверка на състоянието.

Защо презаписването на памет е по-трудно за улавяне

Тази техника използва пролука между това, което инструментите за сигурност са създадени да наблюдават, и това, което действително показва компрометиране. Повечето защитни слоеве са изградени около предположението, че работещ агент за сигурност означава непокътната защита. Ако процесът присъства и работи, се предполага, че си върши работата. Ransomware killers, които директно манипулират паметта, подкопават това предположение, без да задействат очевидния сигнал – срив или прекратяване на процес, на който разчитат много системи за откриване.

Това е естествена еволюция на тенденция, която вече промени начина, по който действат ransomware групите. Както беше разгледано в скорошен анализ на рамки за убиване на EDR за ransomware, атакуващите се отдалечиха от надпреварата да шифрират файлове преди защитите да реагират, и се насочиха към методично изключване на тези защити първо. Техниките за презаписване на памет представляват следващата стъпка в същата стратегия: вместо просто да деактивират инструмент, атакуващите се учат да направят така, че да изглежда сякаш нищо не се е случило.

За екипите по сигурност това поставя практически проблем. Стратегии за откриване, които разчитат на „дали процесът на сигурност все още работи“ като показател за „дали крайната точка все още е защитена“, могат тихо да бъдат провалени. Това не означава, че тези инструменти са безполезни, но означава, че организациите се нуждаят от допълнителни сигнали, като проверка дали даден процес действително се държи нормално, а не само че съществува, за да уловят този вид манипулация.

По-широк модел на заобикаляне на EDR и антивирусен софтуер

Това развитие се вписва в един по-широк модел, при който ransomware групите третират софтуера за сигурност като първото препятствие за премахване, а не като второстепенна задача. Атакуващите все повече разработват специализирани инструменти само за деактивиране или заобикаляне на продукти за откриване, преди да разгърнат истинския ransomware товар. Преходът към манипулация на паметта, вместо изрично прекратяване, подсказва, че тези групи активно се адаптират към защитници, които са станали по-добри в забелязването на по-грубата версия на тази атака. Тъй като многослойните защити, каквито изискват рамките за убиване на EDR за ransomware, се превръщат в стандартен съвет, атакуващите съответно усъвършенстват методите си, за да се промъкнат точно през тези слоеве.

Какво означава това за вас

За индивидуалните потребители този вид атака е малко вероятно да се появи директно, тъй като тя е насочена към корпоративна инфраструктура за сигурност, а не към лични устройства. Но основният урок важи широко: присъствието на инструмент за сигурност на вашата система не е гаранция, че той функционира правилно. Ransomware killers напомнят, че атакуващите все повече се фокусират върху тихо деактивиране на защитата, вместо да предизвикват видими аларми, което си струва да се обърне внимание дали вашият софтуер за сигурност действително се държи нормално, а не само дали е инсталиран и работи.

За ИТ и екипи по сигурност тази техника подчертава необходимостта да се премине отвъд простите проверки от типа „дали процесът е жив“. Наблюдението трябва да включва проверка на поведението на самите инструменти за сигурност – дали те действително сканират, актуализират се и докладват според очакванията, а не само да заемат позиция в списъка с процеси. Наслоени защити, излишно наблюдение и външна проверка на здравето на инструмента за сигурност стават все по-важни, тъй като атакуващите стават по-добри в симулирането на нормалност.

Приложими изводи

  • Не разчитайте само на присъствието на процес като доказателство, че софтуерът за сигурност работи; проверявайте поведението, а не само съществуването.
  • Уверете се, че инструментите за сигурност имат активирани проверки на целостта или функции за защита от подправяне, където са налични.
  • Изградете наблюдение, което сигнализира за необичайна активност в паметта около критични процеси за сигурност, а не само за сривове или прекратявания.
  • Поддържайте инструментите за откриване на крайни точки актуализирани, тъй като доставчиците често пускат пачове срещу известни техники за заобикаляне, когато бъдат открити.
  • Третирайте всеки доклад за инструментариум „ransomware killer“ като сигнал да прегледате как вашата организация проверява здравето на собствените си защити, а не само дали те технически работят.

Тъй като ransomware групите продължават да усъвършенстват начините за неутрализиране на инструменти за сигурност, без да задействат очевидни аларми, информираността за тези техники за заобикаляне е един от най-простите начини да останете една крачка пред тях.