Un modo più silenzioso per accecare le tue difese
Gli operatori di ransomware hanno a lungo cercato di disabilitare i software di sicurezza prima di lanciare un attacco, arrestando strumenti antivirus, agenti di Endpoint Detection and Response (EDR) e servizi di backup in modo che nulla ostacoli la cifratura. Ma una nuova generazione di strumenti, talvolta chiamati "killer del ransomware", sta adottando un approccio più sottile. Invece di terminare un processo di sicurezza in modo esplicito, questi strumenti sovrascrivono chirurgicamente la memoria del processo, lasciando l'applicazione tecnicamente in esecuzione.
La differenza è più importante di quanto possa sembrare. Quando un processo di sicurezza viene terminato, di solito scompare dall'elenco dei processi di sistema, e molte organizzazioni hanno un monitoraggio appositamente configurato per segnalare quel tipo di sparizione. Un servizio di watchdog, una console di gestione o una regola di avviso possono rilevare il momento in cui un processo antivirus smette di rispondere e far scattare l'allarme. Sovrascrivendo invece la memoria di quel processo, gli aggressori possono neutralizzare la sua capacità di rilevare o rispondere alle minacce, mentre il processo stesso appare ancora attivo a chiunque dia un'occhiata al task manager o a un controllo di salute di base.
Perché sovrascrivere la memoria è più difficile da rilevare
Questa tecnica sfrutta un divario tra ciò che gli strumenti di sicurezza sono progettati per monitorare e ciò che effettivamente indica una compromissione. La maggior parte dei livelli difensivi si basa sul presupposto che un agente di sicurezza funzionante significhi protezione integra. Se il processo è presente e in esecuzione, si dà per scontato che stia facendo il suo lavoro. I killer del ransomware che manipolano direttamente la memoria minano questo presupposto senza generare il segnale evidente, un crash o una terminazione del processo, su cui molti sistemi di rilevamento si basano.
Si tratta di un'evoluzione naturale di una tendenza che ha già rimodellato il modo in cui operano i gruppi di ransomware. Come illustrato in un recente approfondimento sui framework di ransomware che disattivano l'EDR, gli aggressori sono passati dal correre a cifrare i file prima che le difese possano reagire, a disabilitare metodicamente quelle difese per prime. Le tecniche di sovrascrittura della memoria rappresentano il passo successivo dello stesso schema: invece di limitarsi a disabilitare uno strumento, gli aggressori stanno imparando a far sembrare che non sia successo nulla.
Per i team di sicurezza, questo solleva un problema pratico. Le strategie di rilevamento che dipendono dal fatto che "il processo di sicurezza sia ancora in esecuzione" come indicatore indiretto del fatto che "l'endpoint sia ancora protetto" possono essere aggirate silenziosamente. Ciò non significa che questi strumenti siano inutili, ma che le organizzazioni hanno bisogno di segnali aggiuntivi, come verificare che un processo si stia effettivamente comportando in modo normale, non solo che esista, per rilevare questo tipo di manomissione.
Un modello più ampio di evasione di EDR e antivirus
Questo sviluppo si inserisce in un modello più ampio in cui i gruppi di ransomware trattano i software di sicurezza come il primo ostacolo da rimuovere e non come un pensiero successivo. Gli aggressori hanno sempre più spesso creato strumenti dedicati esclusivamente alla disabilitazione o all'aggiramento dei prodotti di rilevamento prima di distribuire il carico utile del ransomware. Il passaggio alla manipolazione della memoria, piuttosto che alla terminazione esplicita, suggerisce che questi gruppi si stiano adattando attivamente a difensori che sono diventati più bravi a individuare la versione più rozza di questo attacco. Mentre difese stratificate come quelle richieste dai framework di ransomware che disattivano l'EDR diventano un consiglio standard, gli aggressori affinano di conseguenza i loro metodi per superare proprio quei livelli.
Cosa significa per te
Per gli utenti individuali, è improbabile che questo tipo di attacco si presenti direttamente, poiché prende di mira l'infrastruttura di sicurezza aziendale piuttosto che i dispositivi personali. Ma la lezione di fondo è di ampia applicazione: la presenza di uno strumento di sicurezza sul tuo sistema non è una garanzia che funzioni correttamente. I killer del ransomware ricordano che gli aggressori sono sempre più concentrati sul disabilitare silenziosamente la protezione piuttosto che far scattare allarmi visibili, il che rende utile prestare attenzione all'effettivo comportamento normale del tuo software di sicurezza, non solo al fatto che sia installato e in esecuzione.
Per i team IT e di sicurezza, questa tecnica sottolinea la necessità di andare oltre i semplici controlli del tipo "il processo è vivo". Il monitoraggio dovrebbe includere la verifica comportamentale degli stessi strumenti di sicurezza, controllando che stiano effettivamente scansionando, aggiornando e segnalando come previsto, e non solo occupando uno slot nell'elenco dei processi. Difese stratificate, monitoraggio ridondante e verifica fuori banda dello stato dello strumento di sicurezza diventano tutti più importanti man mano che gli aggressori diventano più bravi a simulare la normalità.
Spunti operativi
- Non basarti esclusivamente sulla presenza di un processo come prova che il software di sicurezza funzioni; verifica il comportamento, non solo l'esistenza.
- Assicurati che gli strumenti di sicurezza dispongano di controlli di integrità o funzionalità di protezione antimanomissione abilitate, laddove disponibili.
- Crea un monitoraggio che segnali attività di memoria insolite intorno ai processi di sicurezza critici, non solo i crash o le terminazioni.
- Mantieni aggiornati gli strumenti di rilevamento degli endpoint, poiché i fornitori spesso forniscono patch contro le tecniche di evasione note man mano che vengono scoperte.
- Tratta qualsiasi segnalazione di strumenti "killer del ransomware" come un segnale per rivedere il modo in cui la tua organizzazione verifica lo stato delle proprie difese, non solo se sono tecnicamente in esecuzione.
Mentre i gruppi di ransomware continuano a perfezionare il modo in cui neutralizzano gli strumenti di sicurezza senza far scattare allarmi evidenti, rimanere informati su queste tecniche di evasione è uno dei modi più semplici per stare un passo avanti.
