Ransomware-dræbere overskriver nu sikkerhedssoftwarens hukommelse

En mere stilfærdig måde at blinde dine forsvarsværker på

Ransomware-operatører har længe forsøgt at dræbe sikkerhedssoftware, inden de iværksætter et angreb, ved at lukke antivirusværktøjer, endpoint detection and response (EDR)-agenter og backup-tjenester, så intet står i vejen for krypteringen. Men en nyere generation af værktøjer, nogle gange kaldet "ransomware-dræbere", tager en mere subtil tilgang. I stedet for at afslutte en sikkerhedsproces direkte overskriver disse værktøjer kirurgisk processens hukommelse, mens applikationen teknisk set stadig kører.

Forskellen betyder mere, end det måske lyder. Når en sikkerhedsproces dræbes, forsvinder den typisk fra systemets procesliste, og mange organisationer har overvågning specifikt til at fange den slags forsvinding. En watchdog-tjeneste, en administrationskonsol eller en alarmregel kan registrere det øjeblik, en antivirusproces holder op med at reagere og slå alarm. Ved i stedet at overskrive den pågældende proces’ hukommelse kan angribere neutralisere dens evne til at opdage eller reagere på trusler, mens selve processen stadig ser ud til at være aktiv for enhver, der kigger på en opgavehåndtering eller en grundlæggende sundhedskontrol.

Hvorfor overskrivning af hukommelse er sværere at opdage

Denne teknik udnytter et hul mellem, hvad sikkerhedsværktøjer er designet til at overvåge, og hvad der faktisk indikerer et kompromis. De fleste defensive lag er bygget op omkring antagelsen om, at en fungerende sikkerhedsagent betyder, at beskyttelsen er intakt. Hvis processen er til stede og kører, antager man, at den gør sit arbejde. Ransomware-dræbere, der manipulerer hukommelsen direkte, underminerer denne antagelse uden at udløse det tydelige signal – et procesnedbrud eller en afslutning – som mange detektionssystemer er afhængige af.

Dette er en naturlig videreudvikling af en tendens, der allerede har ændret, hvordan ransomware-grupper opererer. Som det blev beskrevet i et nyligt kig på EDR-dræbende ransomware-rammeværk, er angriberne gået bort fra at haste med at kryptere filer, inden forsvaret kan reagere, og over til metodisk at deaktivere disse forsvarsmekanismer først. Hukommelsesoverskrivende teknikker repræsenterer næste skridt i samme playbook: I stedet for blot at deaktivere et værktøj lærer angriberne at få det til at se ud, som om intet er sket overhovedet.

For sikkerhedsteams rejser dette et praktisk problem. Detektionsstrategier, der afhænger af "kører sikkerhedsprocessen stadig?" som en stedfortræder for "er endpointet stadig beskyttet?", kan stille og roligt omgås. Det betyder ikke, at disse værktøjer er ubrugelige, men det betyder, at organisationer har brug for yderligere signaler, f.eks. at verificere, at en proces rent faktisk opfører sig normalt – ikke kun at den eksisterer – for at fange denne form for manipulation.

Et bredere mønster af EDR- og antivirus-undvigelse

Denne udvikling passer ind i et bredere mønster, hvor ransomware-grupper behandler sikkerhedssoftware som den første forhindring, der skal fjernes – ikke som en eftertanke. Angribere har i stigende grad bygget dedikerede værktøjer, der udelukkende er beregnet til at deaktivere eller omgå detektionsprodukter, inden den egentlige ransomware-payload udrulles. Skiftet mod hukommelsesmanipulation frem for direkte afslutning tyder på, at disse grupper aktivt tilpasser sig forsvarere, der er blevet bedre til at opdage den mere primitive version af dette angreb. Efterhånden som lagdelte forsvarsstrategier som EDR-dræbende ransomware-rammeværk kræver bliver standardråd, raffinerer angriberne tilsvarende deres metoder for at slippe forbi netop disse lag.

Hvad det betyder for dig

For individuelle brugere vil denne type angreb næppe dukke op direkte, da det er rettet mod virksomheders sikkerhedsinfrastruktur snarere end personlige enheder. Men den underliggende lære gælder bredt: Tilstedeværelsen af et sikkerhedsværktøj på dit system er ikke en garanti for, at det fungerer korrekt. Ransomware-dræbere er en påmindelse om, at angribere i stigende grad fokuserer på stille og roligt at deaktivere beskyttelsen i stedet for at udløse synlige alarmer, hvilket gør det værd at holde øje med, om din sikkerhedssoftware rent faktisk opfører sig normalt – ikke kun om den er installeret og kører.

For it- og sikkerhedsteams understreger denne teknik behovet for at bevæge sig videre fra simple "kører processen?"-kontroller. Overvågning bør omfatte adfærdsmæssig verifikation af selve sikkerhedsværktøjerne – at de rent faktisk scanner, opdaterer og rapporterer som forventet, ikke blot optager en plads i proceslisten. Lagdelte forsvarsmekanismer, redundant overvågning og out-of-band-verifikation af sikkerhedsværktøjers sundhed bliver alt sammen vigtigere, efterhånden som angriberne bliver dygtigere til at simulere normalitet.

Praktiske anbefalinger

• Stol ikke udelukkende på procestilstedeværelse som bevis for, at sikkerhedssoftware fungerer; verificér adfærd, ikke blot eksistens.
• Sørg for, at sikkerhedsværktøjer har integritetskontroller eller manipulationsbeskyttelse aktiveret, hvor det er muligt.
• Opret overvågning, der markerer usædvanlig hukommelsesaktivitet omkring kritiske sikkerhedsprocesser – ikke kun nedbrud eller afslutninger.
• Hold endpoint-detektionsværktøjer opdaterede, da leverandører ofte retter mod kendte undvigelsesteknikker, efterhånden som de opdages.
• Betragt enhver rapport om "ransomware-dræber"-værktøjer som et signal til at gennemgå, hvordan din organisation verificerer sundheden af sine egne forsvarsværker – ikke kun om de teknisk set kører.

Efterhånden som ransomware-grupper fortsætter med at forfine, hvordan de neutraliserer sikkerhedsværktøjer uden at udløse åbenlyse alarmer, er det at holde sig informeret om disse undvigelsesteknikker en af de enkleste måder at være på forkant med dem.