EDRKillShifter-Malware
Eine mit der RansomHub-Ransomware verbundene Cybercrime-Gruppe wurde dabei beobachtet, wie sie ein neues Tool einsetzte, das darauf abzielt, Endpoint Detection and Response (EDR)-Software auf kompromittierten Systemen zu deaktivieren. Cybersicherheitsexperten haben dieses EDR-Deaktivierungsprogramm „EDRKillShifter“ genannt. Das Tool wurde nach einem fehlgeschlagenen Ransomware-Versuch im Mai 2024 entdeckt. EDRKillShifter reiht sich nun in andere ähnliche Programme ein, wie AuKill (auch bekannt als AvNeutralizer) und Terminator.
EDRKillShifter fungiert als ausführbare „Loader“-Datei und dient als Bereitstellungsmechanismus für einen legitimen, aber anfälligen Treiber. Diese Art von Tool wird normalerweise als „Bring Your Own Vulnerable Driver“ (BYOVD) bezeichnet. Abhängig von den Zielen des Bedrohungsakteurs kann es verschiedene Treibernutzlasten bereitstellen.
Inhaltsverzeichnis
Neues Gesicht einer alten Cybercrime-Gruppe
Die RansomHub-Ransomware, die vermutlich eine umbenannte Version der Knight-Ransomware ist, tauchte im Februar 2024 auf. Sie nutzt bekannte Sicherheitslücken aus, um sich ersten Zugriff zu verschaffen, und setzt legitime Remote-Desktop-Tools wie Atera und Splashtop ein, um dauerhaften Zugriff aufrechtzuerhalten. Erst letzten Monat gab Microsoft bekannt, dass die berüchtigte Cybercrime-Gruppe Scattered Spider Ransomware-Stämme wie RansomHub und Qilin zu ihrem Toolkit hinzugefügt hat.
Angriffskette und Funktionsweise von EDRKillShifter
Die ausführbare Datei wird über die Befehlszeile mit der Eingabe einer Kennwortzeichenfolge ausgeführt. Sie entschlüsselt eine eingebettete Ressource namens BIN und führt sie direkt im Speicher aus. Diese BIN-Ressource entpackt und führt eine endgültige, Go-basierte, verschleierte Nutzlast aus, die verschiedene anfällige, legitime Treiber ausnutzt, um erweiterte Berechtigungen zu erlangen und EDR-Software zu deaktivieren.
Die Spracheigenschaft der Binärdatei ist auf Russisch eingestellt, was darauf schließen lässt, dass die Malware auf einem System mit russischen Lokalisierungseinstellungen kompiliert wurde. Alle entpackten EDR-Deaktivierungstools betten einen anfälligen Treiber in den .data-Abschnitt ein.
Es wird empfohlen, Systeme auf dem neuesten Stand zu halten, Manipulationsschutz in EDR-Software zu aktivieren und strenge Sicherheitspraktiken für Windows-Rollen einzuhalten, um diese Bedrohung einzudämmen. Dieser Angriff ist nur möglich, wenn der Angreifer Berechtigungen eskalieren oder Administratorrechte erlangen kann. Eine klare Trennung zwischen Benutzer- und Administratorrechten kann enorm dazu beitragen, Angreifer daran zu hindern, beschädigte Treiber einfach zu laden.
Wie erhöhen Sie die Sicherheit Ihrer Geräte gegen Malware-Infektionen?
Um die Gerätesicherheit zu erhöhen und sich vor Malware-Infektionen zu schützen, wird den Benutzern empfohlen, die folgenden umfassenden Best Practices anzuwenden:
Durch die Umsetzung dieser Best Practices können Benutzer ihre Abwehrmaßnahmen gegen Malware-Infektionen und andere Sicherheitsbedrohungen deutlich stärken und so die allgemeine Systemsicherheit und -integrität verbessern.
EDRKillShifter-Malware Video
Tipp: Schalten Sie Ihren Ton EIN und sehen Sie sich das Video im Vollbildmodus an .
