A zsarolóvírus-gyilkosok ma már felülírják a biztonsági szoftverek memóriáját

Csendesebb mód a védelem megvakítására

A zsarolóvírus-kezelők régóta próbálják megölni a biztonsági szoftvereket a támadás indítása előtt, leállítva a vírusirtó eszközöket, a végpontészlelési és -válaszadási (EDR) ügynököket és a biztonsági mentési szolgáltatásokat, hogy semmi se álljon a titkosítás útjába. Az eszközök újabb generációja, amelyeket néha „zsarolóvírus-gyilkosoknak” neveznek, finomabb megközelítést alkalmaz. Ahelyett, hogy egy biztonsági folyamatot egyszerűen leállítanának, ezek az eszközök sebészi pontossággal felülírják a folyamat memóriáját, miközben az alkalmazás technikailag tovább fut.

A különbség fontosabb, mint amilyennek hangzik. Amikor egy biztonsági folyamatot leállítanak, az általában eltűnik a rendszer folyamatlistájából, és sok szervezetnél vannak olyan figyelőmegoldások, amelyek kifejezetten az ilyen eltűnéseket jelzik. Egy felügyeleti szolgáltatás, egy felügyeleti konzol vagy egy riasztási szabály észlelheti, ha egy vírusirtó folyamat nem reagál, és riasztást adhat. Azáltal, hogy a támadók inkább felülírják a folyamat memóriáját, semlegesíthetik annak képességét, hogy észlelje a fenyegetéseket vagy válaszoljon rájuk, miközben maga a folyamat továbbra is aktívnak tűnik annak, aki rápillant egy feladatkezelőre vagy egy alapvető állapotellenőrzést végez.

Miért nehezebb észlelni a memória felülírását?

Ez a technika egy olyan rést használ ki, ami aközött van, amit a biztonsági eszközök figyelnek, és ami valójában kompromittálódásra utal. A legtöbb védelmi réteg arra a feltételezésre épül, hogy egy működő biztonsági ügynök azt jelenti, hogy a védelem sértetlen. Ha a folyamat jelen van és fut, a feltételezés szerint végzi a dolgát. A memóriát közvetlenül manipuláló zsarolóvírus-gyilkosok aláássák ezt a feltételezést anélkül, hogy kiváltanák azt a nyilvánvaló jelet – a folyamat összeomlását vagy leállítását –, amelyre sok észlelő rendszer támaszkodik.

Ez annak a trendnek a természetes továbbfejlődése, amely már átalakította a zsarolóvírus-csoportok működését. Ahogy egy nemrégiben megjelent, az EDR-t megölő zsarolóvírus-keretrendszerekről szóló áttekintés is bemutatta, a támadók elmozdultak attól, hogy versenyt fussanak a fájlok titkosításával, mielőtt a védelem reagálhatna, és inkább módszeresen hatástalanítják először ezeket a védelmeket. A memória-felülírási technikák ugyanannak a forgatókönyvnek a következő lépését jelentik: ahelyett, hogy csupán hatástalanítanának egy eszközt, a támadók megtanulják elérni, hogy úgy tűnjön, mintha semmi sem történt volna.

A biztonsági csapatok számára ez gyakorlati problémát vet fel. Azok az észlelési stratégiák, amelyek a „fut-e még a biztonsági folyamat” kérdést használják a „védett-e még a végpont” helyettesítőjeként, észrevétlenül legyőzhetők. Ez nem jelenti azt, hogy ezek az eszközök haszontalanok, de azt igen, hogy a szervezeteknek további jelekre van szükségük – például annak ellenőrzésére, hogy egy folyamat valóban normálisan viselkedik-e, nem csupán arra, hogy létezik –, hogy elkapják az ilyen típusú manipulációt.

Az EDR- és vírusirtó-megkerülés szélesebb mintázata

Ez a fejlemény egy tágabb mintázatba illeszkedik, ahol a zsarolóvírus-csoportok a biztonsági szoftvereket az első eltávolítandó akadálynak tekintik, nem pedig utólagos gondolatnak. A támadók egyre inkább dedikált eszközöket építenek kifejezetten az észlelő termékek hatástalanítására vagy megkerülésére, mielőtt bevetnék a tényleges zsarolóvírus-hasznos terhet. A memóriamanipuláció felé való elmozdulás a folyamat leállítása helyett azt sugallja, hogy ezek a csoportok aktívan alkalmazkodnak azokhoz a védőkhöz, akik jobban észreveszik a támadás durvább változatát. Ahogy a rétegzett védelmek – mint amilyet az EDR-t megölő zsarolóvírus-keretrendszerek is megkövetelnek – szokásos tanáccsá válnak, a támadók ennek megfelelően finomítják módszereiket, hogy pontosan ezeken a rétegeken csússzanak át.

Mit jelent ez Önnek?

Az egyéni felhasználók esetében valószínűtlen, hogy ez a fajta támadás közvetlenül megjelenik, mivel az a vállalati biztonsági infrastruktúrát célozza, nem pedig a személyes eszközöket. Az alapvető tanulság azonban általánosan alkalmazható: egy biztonsági eszköz jelenléte a rendszeren nem garancia arra, hogy megfelelően működik. A zsarolóvírus-gyilkosok emlékeztetnek arra, hogy a támadók egyre inkább arra összpontosítanak, hogy észrevétlenül hatástalanítsák a védelmet ahelyett, hogy látható riasztásokat váltanának ki, ami miatt érdemes figyelni arra, hogy a biztonsági szoftver valóban normálisan viselkedik-e, nem csupán arra, hogy telepítve van-e és fut-e.

Az informatikai és biztonsági csapatok számára ez a technika hangsúlyozza annak szükségességét, hogy túllépjenek az egyszerű „él-e a folyamat” ellenőrzéseken. A monitorozásnak ki kell terjednie a biztonsági eszközök viselkedésének ellenőrzésére is, amellyel megbizonyosodhatnak arról, hogy azok ténylegesen vizsgálnak, frissítenek és jelentenek a várakozásoknak megfelelően, nem csupán egy helyet foglalnak el a folyamatlistában. A rétegzett védelmek, a többszintű monitorozás és a biztonsági eszközök állapotának sávon kívüli ellenőrzése egyre fontosabbá válik, ahogy a támadók egyre jobban tudják színlelni a normalitást.

Gyakorlati teendők

• Ne hagyatkozzon kizárólag a folyamat jelenlétére annak jeleként, hogy a biztonsági szoftver működik; viselkedést ellenőrizzen, ne csak a létezést.
• Gondoskodjon arról, hogy a biztonsági eszközök rendelkezzenek integritásellenőrzéssel vagy illetéktelen beavatkozás elleni védelemmel, és ezeket kapcsolják be, ahol elérhetők.
• Olyan monitorozást alakítson ki, amely a kritikus biztonsági folyamatok körüli szokatlan memóriatevékenységet is jelzi, nem csupán az összeomlásokat vagy leállításokat.
• Tartsa naprakészen a végpontészlelési eszközöket, mivel a gyártók gyakran javítják az ismert megkerülési technikákat, amint azok felfedezésre kerülnek.
• Kezelje a „zsarolóvírus-gyilkos” eszközökről szóló bármely jelentést jelzésként annak felülvizsgálatára, hogyan ellenőrzi a szervezet saját védelmeinek állapotát, ne csupán azt, hogy technikailag futnak-e.

Ahogy a zsarolóvírus-csoportok tovább finomítják, hogyan semlegesítik a biztonsági eszközöket anélkül, hogy nyilvánvaló riasztásokat váltanának ki, ezekről a megkerülési technikákról való tájékozottság az egyik legegyszerűbb módja annak, hogy előttük járjunk.