Uma Maneira Mais Silenciosa de Cegar Suas Defesas

Os operadores de ransomware há muito tentam matar o software de segurança antes de lançar um ataque, desligando ferramentas antivírus, agentes de detecção e resposta de endpoints (EDR) e serviços de backup para que nada fique no caminho da criptografia. Mas uma nova geração de ferramentas, às vezes chamadas de "matadores de ransomware", está adotando uma abordagem mais sutil. Em vez de encerrar completamente um processo de segurança, essas ferramentas sobrescrevem cirurgicamente a memória do processo, deixando o aplicativo tecnicamente em execução.

A diferença importa mais do que pode parecer. Quando um processo de segurança é morto, ele normalmente desaparece da lista de processos do sistema, e muitas organizações têm monitoramento configurado especificamente para sinalizar esse tipo de desaparecimento. Um serviço de vigilância, um console de gerenciamento ou uma regra de alerta pode capturar o momento em que um processo antivírus para de responder e disparar o alarme. Ao sobrescrever a memória desse processo, os invasores podem neutralizar sua capacidade de detectar ou responder a ameaças enquanto o processo em si ainda parece ativo para qualquer um que olhe o gerenciador de tarefas ou uma verificação básica de integridade.

Por que sobrescrever a memória é mais difícil de detectar

Essa técnica explora uma lacuna entre o que as ferramentas de segurança são projetadas para monitorar e o que realmente indica comprometimento. A maioria das camadas defensivas é construída em torno da suposição de que um agente de segurança em funcionamento significa que a proteção está intacta. Se o processo está presente e em execução, supõe-se que ele está fazendo seu trabalho. Os matadores de ransomware que manipulam a memória diretamente minam essa suposição sem disparar o sinal óbvio – uma falha ou encerramento do processo – no qual muitos sistemas de detecção se baseiam.

Esta é uma evolução natural de uma tendência que já remodelou a forma como os grupos de ransomware operam. Conforme abordado em uma análise recente sobre estruturas de ransomware que matam EDR, os invasores deixaram de correr para criptografar arquivos antes que as defesas possam reagir e passaram a desabilitar metodicamente essas defesas primeiro. As técnicas de sobrescrita de memória representam o próximo passo nesse mesmo manual: em vez de apenas desabilitar uma ferramenta, os invasores estão aprendendo a fazer parecer que nada aconteceu.

Para as equipes de segurança, isso levanta um problema prático. As estratégias de detecção que dependem de "o processo de segurança ainda está em execução" como um indicador de "o endpoint ainda está protegido" podem ser silenciosamente derrotadas. Isso não significa que essas ferramentas sejam inúteis, mas significa que as organizações precisam de sinais adicionais, como verificar se um processo está realmente se comportando normalmente, e não apenas se ele existe, para detectar esse tipo de adulteração.

Um Padrão Mais Amplo de Evasão de EDR e Antivírus

Esse desenvolvimento se encaixa em um padrão mais amplo em que os grupos de ransomware tratam o software de segurança como o primeiro obstáculo a ser removido, não como uma reflexão tardia. Os invasores têm criado cada vez mais ferramentas dedicadas apenas para desabilitar ou contornar produtos de detecção antes de implantar a carga real de ransomware. A mudança para a manipulação de memória, em vez do encerramento completo, sugere que esses grupos estão se adaptando ativamente aos defensores que se tornaram melhores em detectar a versão mais grosseira desse ataque. À medida que as defesas em camadas, como aquelas exigidas pelas estruturas de ransomware que matam EDR, se tornam conselhos padrão, os invasores estão correspondentemente refinando seus métodos para escapar exatamente dessas camadas.

O Que Isso Significa Para Você

Para usuários individuais, é improvável que esse tipo de ataque apareça diretamente, já que ele tem como alvo a infraestrutura de segurança corporativa, não dispositivos pessoais. Mas a lição subjacente se aplica de forma ampla: a presença de uma ferramenta de segurança no seu sistema não é garantia de que ela está funcionando corretamente. Os matadores de ransomware são um lembrete de que os invasores estão cada vez mais focados em desabilitar silenciosamente a proteção, em vez de disparar alarmes visíveis, o que faz valer a pena prestar atenção se o seu software de segurança está realmente se comportando normalmente, e não apenas se está instalado e em execução.

Para equipes de TI e segurança, essa técnica ressalta a necessidade de ir além de simples verificações de "o processo está ativo". O monitoramento deve incluir a verificação comportamental das próprias ferramentas de segurança, verificando se elas estão realmente escaneando, atualizando e relatando conforme o esperado, e não apenas ocupando um lugar na lista de processos. Defesas em camadas, monitoramento redundante e verificação fora de banda da integridade das ferramentas de segurança tornam-se mais importantes à medida que os invasores ficam melhores em fingir normalidade.

Recomendações Práticas

  • Não confie apenas na presença do processo como prova de que o software de segurança está funcionando; verifique o comportamento, não apenas a existência.
  • Certifique-se de que as ferramentas de segurança tenham verificações de integridade ou recursos de proteção contra adulteração ativados, quando disponíveis.
  • Crie um monitoramento que sinalize atividades incomuns de memória em torno de processos de segurança críticos, não apenas falhas ou encerramentos.
  • Mantenha as ferramentas de detecção de endpoint atualizadas, pois os fornecedores frequentemente corrigem técnicas de evasão conhecidas assim que são descobertas.
  • Trate qualquer relato de ferramentas "matadoras de ransomware" como um sinal para revisar como sua organização verifica a integridade de suas próprias defesas, e não apenas se elas estão tecnicamente em execução.

À medida que os grupos de ransomware continuam refinando como neutralizam as ferramentas de segurança sem disparar alarmes óbvios, manter-se informado sobre essas técnicas de evasão é uma das maneiras mais simples de ficar à frente deles.