Een stillere manier om je verdediging te verblinden
Ransomware-operators proberen al lang beveiligingssoftware uit te schakelen voordat ze een aanval lanceren, door antivirusprogramma's, endpoint detection and response (EDR)-agents en back-upservices stop te zetten zodat niets encryptie in de weg staat. Maar een nieuwere generatie tools, soms "ransomware-killers" genoemd, pakt het subtieler aan. In plaats van een beveiligingsproces ronduit te beëindigen, overschrijven deze tools chirurgisch het geheugen van het proces terwijl de applicatie technisch actief blijft.
Het onderscheid is belangrijker dan het misschien klinkt. Wanneer een beveiligingsproces wordt beëindigd, verdwijnt het doorgaans uit de processenlijst van het systeem, en veel organisaties hebben monitoring ingesteld om juist dat soort verdwijningen te signaleren. Een waakdienst, een beheerconsole of een waarschuwingsregel kan het moment opvangen waarop een antivirusproces niet meer reageert en alarm slaan. Door in plaats daarvan het geheugen van dat proces te overschrijven, kunnen aanvallers het vermogen om bedreigingen te detecteren of erop te reageren neutraliseren, terwijl het proces zelf nog steeds actief lijkt voor iedereen die naar een taakbeheerder of een eenvoudige statuscontrole kijkt.
Waarom het overschrijven van geheugen moeilijker te detecteren is
Deze techniek buit een kloof uit tussen waar beveiligingstools op ontworpen zijn om te bewaken en wat daadwerkelijk op een inbreuk wijst. De meeste verdedigingslagen zijn gebouwd rond de aanname dat een werkende beveiligingsagent betekent dat de bescherming intact is. Als het proces aanwezig is en draait, gaat men ervan uit dat het zijn werk doet. Ransomware-killers die het geheugen rechtstreeks manipuleren, ondermijnen die aanname zonder het overduidelijke signaal – een procescrash of -beëindiging – te activeren waar veel detectiesystemen op vertrouwen.
Dit is een natuurlijke evolutie van een trend die al heeft veranderd hoe ransomware-groepen opereren. Zoals besproken in een recente blik op EDR-killing ransomware-frameworks, zijn aanvallers verschoven van een race om bestanden te versleutelen voordat verdedigingen kunnen reageren, naar het methodisch eerst uitschakelen van die verdedigingen. Geheugenoverschrijvingstechnieken vormen de volgende stap in datzelfde draaiboek: in plaats van alleen een tool uit te schakelen, leren aanvallers hoe ze het kunnen laten lijken alsof er helemaal niets is gebeurd.
Voor beveiligingsteams levert dit een praktisch probleem op. Detectiestrategieën die afhankelijk zijn van "draait het beveiligingsproces nog" als indicatie voor "wordt het endpoint nog beschermd", kunnen stilletjes worden verslagen. Dat betekent niet dat deze tools nutteloos zijn, maar wel dat organisaties extra signalen nodig hebben – zoals verifiëren dat een proces zich daadwerkelijk normaal gedraagt en niet alleen dat het bestaat – om dit soort sabotage te ontdekken.
Een breder patroon van EDR- en antivirusontwijking
Deze ontwikkeling past in een breder patroon waarbij ransomware-groepen beveiligingssoftware als het eerste obstakel beschouwen dat moet worden verwijderd, niet als een bijzaak. Aanvallers hebben in toenemende mate speciale tools gebouwd alleen om detectieproducten uit te schakelen of te omzeilen voordat ze de daadwerkelijke ransomware-payload inzetten. De verschuiving naar geheugenmanipulatie in plaats van regelrechte beëindiging suggereert dat deze groepen zich actief aanpassen aan verdedigers die beter zijn geworden in het signaleren van de grovere versie van deze aanval. Terwijl gelaagde verdediging zoals EDR-killing ransomware-frameworks vereisen standaardadvies wordt, verfijnen aanvallers hun methoden om juist door die lagen heen te glippen.
Wat dit voor jou betekent
Voor individuele gebruikers is het onwaarschijnlijk dat dit soort aanval rechtstreeks opduikt, omdat het zich richt op bedrijfsbeveiligingsinfrastructuur en niet op persoonlijke apparaten. Maar de onderliggende les is breed toepasbaar: de aanwezigheid van een beveiligingstool op je systeem is geen garantie dat deze correct functioneert. Ransomware-killers herinneren ons eraan dat aanvallers zich steeds meer richten op het stilletjes uitschakelen van bescherming in plaats van het activeren van zichtbare alarmen, waardoor het de moeite waard is om erop te letten of je beveiligingssoftware zich daadwerkelijk normaal gedraagt, niet alleen of deze is geïnstalleerd en draait.
Voor IT- en beveiligingsteams onderstreept deze techniek de noodzaak om verder te gaan dan eenvoudige "is het proces actief"-controles. Monitoring moet ook gedragsverificatie van de beveiligingstools zelf omvatten – controleren of ze daadwerkelijk scannen, updaten en rapporteren zoals verwacht, en niet alleen een plekje in de processenlijst bezetten. Gelaagde verdediging, redundante monitoring en out-of-band verificatie van de status van beveiligingstools worden allemaal belangrijker naarmate aanvallers beter worden in het veinzen van normaliteit.
Concrete aanbevelingen
- Vertrouw niet uitsluitend op de aanwezigheid van een proces als bewijs dat beveiligingssoftware werkt; verifieer het gedrag, niet alleen het bestaan.
- Zorg ervoor dat beveiligingstools integriteitscontroles of sabotagebeschermingsfuncties hebben ingeschakeld waar beschikbaar.
- Bouw monitoring op die ongebruikelijke geheugenactiviteit rond kritieke beveiligingsprocessen signaleert, niet alleen crashes of beëindigingen.
- Houd endpointdetectietools up-to-date, omdat leveranciers vaak patches uitbrengen tegen bekende ontwijkingstechnieken zodra die worden ontdekt.
- Beschouw elk rapport over "ransomware-killer"-tools als een signaal om te herzien hoe jouw organisatie de gezondheid van haar eigen verdediging verifieert, niet alleen of ze technisch draaien.
Terwijl ransomware-groepen blijven verfijnen hoe ze beveiligingstools neutraliseren zonder overduidelijke alarmen te laten afgaan, is op de hoogte blijven van deze ontwijkingstechnieken een van de eenvoudigste manieren om ze voor te blijven.
