Тихіший спосіб засліпити ваш захист
Оператори програм-вимагачів уже давно намагаються вбити захисне програмне забезпечення перед атакою, вимикаючи антивірусні інструменти, агенти виявлення та реагування на кінцевих точках (EDR) і служби резервного копіювання, щоб нічого не стояло на заваді шифруванню. Але нове покоління інструментів, які іноді називають «вбивцями програм-вимагачів», використовує тонший підхід. Замість того щоб повністю завершувати захисний процес, ці інструменти хірургічно перезаписують пам’ять процесу, залишаючи застосунок формально запущеним.
Ця відмінність важливіша, ніж може здатися. Коли захисний процес убито, він зазвичай зникає зі списку процесів, і багато організацій мають спеціальний моніторинг, щоб фіксувати таку зникнення. Вартовий сервіс, консоль управління або правило сповіщення можуть виявити момент, коли антивірусний процес перестає відповідати, і підняти тривогу. Перезаписуючи натомість пам’ять цього процесу, зловмисники можуть нейтралізувати його здатність виявляти загрози або реагувати на них, тоді як сам процес усе ще виглядає активним для того, хто дивиться на диспетчер завдань або базову перевірку стану.
Чому перезапис пам’яті важче виявити
Ця техніка використовує розрив між тим, що засоби безпеки налаштовані відстежувати, і тим, що насправді свідчить про компрометацію. Більшість захисних рівнів побудовані на припущенні, що працюючий безпековий агент означає збережений захист. Якщо процес присутній і запущений, вважається, що він виконує свою роботу. Інструменти-вбивці, які безпосередньо маніпулюють пам’яттю, підривають це припущення, не породжуючи очевидного сигналу — аварійного завершення або зупинки процесу, — на який покладаються багато систем виявлення.
Це природна еволюція тенденції, яка вже змінила спосіб дії угруповань програм-вимагачів. Як було розглянуто в нещодавньому огляді фреймворків програм-вимагачів, що вбивають EDR, зловмисники відійшли від поспішного шифрування файлів до того, як захист встигне відреагувати, натомість методично вимикаючи ці засоби захисту першими. Техніки перезапису пам’яті є наступним кроком у тій самій тактиці: замість простого вимкнення інструменту зловмисники вчаться робити так, щоб усе виглядало так, ніби нічого й не сталося.
Для команд безпеки це створює практичну проблему. Стратегії виявлення, які покладаються на те, «чи захисний процес досі працює» як на проксі для «чи захищена кінцева точка», можуть бути тихо подолані. Це не означає, що такі інструменти марні, але організаціям потрібні додаткові сигнали — наприклад, перевірка того, що процес справді поводиться нормально, а не лише існує, — щоб виявити таке втручання.
Ширша картина ухилення від EDR та антивірусів
Цей розвиток вписується в загальну модель, коли угруповання програм-вимагачів розглядають захисне ПЗ як першу перешкоду, яку потрібно усунути, а не як другорядне завдання. Зловмисники дедалі частіше створюють спеціалізовані інструменти виключно для вимкнення або обходу засобів виявлення перед тим, як розгортати власне корисне навантаження програми-вимагача. Перехід до маніпуляції пам’яттю замість прямого завершення свідчить про те, що ці групи активно адаптуються до захисників, які навчилися краще помічати більш грубу версію цієї атаки. Оскільки багаторівневий захист, якого вимагають фреймворки програм-вимагачів, що вбивають EDR, стає стандартною порадою, зловмисники відповідно вдосконалюють свої методи, щоб прослизнути повз саме ці рівні.
Що це означає для вас
Для пересічних користувачів такий тип атаки навряд чи з’явиться безпосередньо, оскільки він націлений на корпоративну інфраструктуру безпеки, а не на особисті пристрої. Але глибший урок застосовний ширше: присутність інструменту безпеки у вашій системі не є гарантією того, що він функціонує правильно. Інструменти-вбивці нагадують, що зловмисники дедалі більше зосереджуються на тихому вимкненні захисту, а не на спрацьовуванні видимих сигналів тривоги, тому варто звертати увагу на те, чи ваше захисне ПЗ справді поводиться нормально, а не лише на те, чи воно встановлене й запущене.
Для ІТ-фахівців та команд безпеки ця техніка підкреслює необхідність вийти за межі простих перевірок «чи процес живий». Моніторинг має включати поведінкову верифікацію самих інструментів безпеки — перевірку того, що вони справді сканують, оновлюються і звітують, як очікувалося, а не просто займають місце у списку процесів. Багаторівневий захист, резервний моніторинг і позаштатна перевірка справності засобів безпеки набувають дедалі більшого значення, оскільки зловмисники краще імітують нормальність.
Практичні висновки
- Не покладайтеся лише на присутність процесу як на доказ роботи захисного ПЗ; перевіряйте поведінку, а не лише існування.
- Переконайтеся, що в засобах безпеки ввімкнено перевірку цілісності або функції захисту від втручання, де це доступно.
- Налаштуйте моніторинг, який позначає незвичну активність у пам’яті навколо критичних захисних процесів, а не лише аварійні завершення чи зупинки.
- Підтримуйте інструменти виявлення на кінцевих точках в актуальному стані, оскільки виробники часто виправляють відомі техніки ухилення щойно їх виявляють.
- Сприймайте будь-яке повідомлення про інструменти-«вбивці» програм-вимагачів як сигнал переглянути, як ваша організація перевіряє справність власного захисту, а не лише технічний факт його роботи.
Оскільки угруповання програм-вимагачів продовжують вдосконалювати способи нейтралізації захисних засобів без явних тривог, залишатися поінформованим про ці техніки ухилення — один із найпростіших способів їх випереджати.
