Zabójcy ransomware teraz nadpisują pamięć oprogramowania zabezpieczającego

Cichszy sposób na oślepienie twojej obrony

Operatorzy ransomware od dawna próbują wyłączyć oprogramowanie zabezpieczające przed rozpoczęciem ataku, zatrzymując narzędzia antywirusowe, agentów wykrywania i reagowania na punktach końcowych (EDR) oraz usługi kopii zapasowych, aby nic nie stało na przeszkodzie szyfrowaniu. Jednak nowsza generacja narzędzi, czasami nazywanych „zabójcami ransomware”, przyjmuje subtelniejsze podejście. Zamiast całkowicie kończyć proces bezpieczeństwa, narzędzia te chirurgicznie nadpisują pamięć procesu, pozostawiając aplikację technicznie uruchomioną.

To rozróżnienie ma większe znaczenie, niż mogłoby się wydawać. Gdy proces bezpieczeństwa jest zabijany, zazwyczaj znika z listy procesów systemowych, a wiele organizacji ma wdrożony monitoring specjalnie do wykrywania takiego zniknięcia. Usługa nadzorcza, konsola zarządzania lub reguła alertu mogą wychwycić moment, w którym proces antywirusowy przestaje odpowiadać i podnieść alarm. Zamiast tego, nadpisując pamięć tego procesu, atakujący mogą unieszkodliwić jego zdolność do wykrywania lub reagowania na zagrożenia, podczas gdy sam proces wciąż wydaje się aktywny dla kogoś, kto zerka na menedżer zadań lub podstawowe sprawdzenie stanu.

Dlaczego nadpisywanie pamięci jest trudniejsze do wykrycia

Technika ta wykorzystuje lukę między tym, co narzędzia bezpieczeństwa mają monitorować, a tym, co faktycznie wskazuje na kompromitację. Większość warstw obronnych opiera się na założeniu, że działający agent bezpieczeństwa oznacza nienaruszoną ochronę. Jeśli proces jest obecny i uruchomiony, zakłada się, że wykonuje swoje zadanie. Zabójcy ransomware, którzy bezpośrednio manipulują pamięcią, podważają to założenie, nie uruchamiając oczywistego sygnału – awarii lub zakończenia procesu – na którym polega wiele systemów detekcji.

To naturalna ewolucja trendu, który już przekształcił sposób działania grup ransomware. Jak omówiono w niedawnym artykule o frameworkach ransomware zabijających EDR, atakujący odeszli od wyścigu z szyfrowaniem plików, zanim obrona zdąży zareagować, na rzecz metodycznego wyłączania tej obrony w pierwszej kolejności. Techniki nadpisywania pamięci stanowią kolejny krok w tym samym schemacie: zamiast po prostu wyłączać narzędzie, atakujący uczą się sprawiać, by wyglądało to tak, jakby nic się nie stało.

Dla zespołów bezpieczeństwa rodzi to praktyczny problem. Strategie detekcji, które opierają się na pytaniu „czy proces bezpieczeństwa nadal działa” jako wskaźniku „czy punkt końcowy jest nadal chroniony”, mogą zostać po cichu obejść. Nie oznacza to, że te narzędzia są bezużyteczne, ale oznacza, że organizacje potrzebują dodatkowych sygnałów, takich jak weryfikacja, czy proces faktycznie zachowuje się normalnie, a nie tylko że istnieje, aby wychwycić tego rodzaju manipulację.

Szerszy wzorzec omijania EDR i antywirusa

Ten rozwój wpisuje się w szerszy wzorzec, w którym grupy ransomware traktują oprogramowanie zabezpieczające jako pierwszą przeszkodę do usunięcia, a nie kwestię drugoplanową. Atakujący coraz częściej budują dedykowane narzędzia właśnie do wyłączania lub omijania produktów detekcyjnych przed wdrożeniem właściwego ładunku ransomware. Przejście w kierunku manipulacji pamięcią zamiast całkowitego zakończenia procesu sugeruje, że grupy te aktywnie dostosowują się do obrońców, którzy coraz lepiej radzą sobie z wykrywaniem prostszej wersji tego ataku. W miarę jak wielowarstwowa obrona, której wymagają frameworki ransomware zabijające EDR, staje się standardową poradą, atakujący odpowiednio udoskonalają swoje metody, aby prześlizgnąć się przez te właśnie warstwy.

Co to oznacza dla Ciebie

W przypadku użytkowników indywidualnych ten rodzaj ataku raczej nie pojawi się bezpośrednio, ponieważ celuje w korporacyjną infrastrukturę bezpieczeństwa, a nie w urządzenia osobiste. Jednak podstawowa lekcja ma zastosowanie ogólne: obecność narzędzia bezpieczeństwa w systemie nie gwarantuje, że działa ono prawidłowo. Zabójcy ransomware przypominają, że atakujący coraz częściej koncentrują się na cichym wyłączaniu ochrony, zamiast wywoływania widocznych alarmów, co sprawia, że warto zwracać uwagę na to, czy oprogramowanie zabezpieczające faktycznie zachowuje się normalnie, a nie tylko czy jest zainstalowane i uruchomione.

Dla zespołów IT i bezpieczeństwa technika ta podkreśla potrzebę wyjścia poza proste sprawdzanie, czy „proces żyje”. Monitorowanie powinno obejmować weryfikację behawioralną samych narzędzi bezpieczeństwa – sprawdzanie, czy faktycznie skanują, aktualizują się i raportują zgodnie z oczekiwaniami, a nie tylko zajmują miejsce na liście procesów. Wielowarstwowa obrona, nadmiarowy monitoring i pozapasmowa weryfikacja kondycji narzędzi bezpieczeństwa stają się coraz ważniejsze, gdy atakujący stają się coraz lepsi w udawaniu normalności.

Praktyczne wnioski

• Nie polegaj wyłącznie na obecności procesu jako dowodzie, że oprogramowanie zabezpieczające działa; weryfikuj zachowanie, a nie samo istnienie.
• Upewnij się, że narzędzia bezpieczeństwa mają włączone kontrole integralności lub funkcje ochrony przed manipulacją, jeśli są dostępne.
• Stwórz monitoring, który będzie flagował nietypową aktywność pamięci wokół krytycznych procesów bezpieczeństwa, a nie tylko awarie lub zakończenia.
• Aktualizuj narzędzia do wykrywania punktów końcowych, ponieważ dostawcy często łatają je przeciwko znanym technikom omijania w miarę ich odkrywania.
• Traktuj każdy raport o narzędziach typu „zabójca ransomware” jako sygnał do przeglądu, w jaki sposób Twoja organizacja weryfikuje kondycję własnych zabezpieczeń, a nie tylko to, czy technicznie działają.

W miarę jak grupy ransomware nadal udoskonalają sposoby neutralizowania narzędzi bezpieczeństwa bez uruchamiania oczywistych alarmów, śledzenie informacji o tych technikach obchodzenia pozostaje jednym z najprostszych sposobów na wyprzedzenie ich.