Хакеры-вымогатели используют Kaspersky TDSSKiller для отключения программного обеспечения EDR
источник: dall-e
Хакеры группировки вымогателей RansomHub используют TDSSKiller, легальный инструмент от «Лаборатории Касперского», для отключения служб обнаружения и реагирования на конечные точки (EDR) на целевых системах. После взлома защиты киберпреступники применяют инструмент сбора учётных данных LaZagne для извлечения логинов из различных баз данных приложений, что помогает в горизонтальном перемещении по сети, сообщает издание Bleeping Computer.
Журналисты уточняют, что инструмент «Лаборатории Касперского» TDSSKiller — это софт, способный сканировать систему на наличие руткитов и буткитов — двух типов вредоносных программ, которые особенно трудно обнаружить и которые могут обойти стандартные средства безопасности.
При этом компания по кибербезопасности Malwarebytes сообщила, что недавно эксперты обнаружили, что хакерская группа RansomHub использует TDSSKiller для взаимодействия со службами уровня ядра с помощью сценария командной строки или пакетного файла, который отключает службу Malwarebytes Anti-Malware Service (MBAMService), работающую на компьютере.
Легитимный инструмент был использован после фазы разведки и повышения привилегий и запущен из временного каталога.
Поскольку TDSSKiller является законным инструментом, подписанным действительным сертификатом, атака группы RansomHub не рискует быть обнаруженной или остановленной решениями безопасности.
Затем RansomHub использовали инструмент LaZagne в попытке извлечь учётные данные, хранящиеся в базах данных. В ходе атаки, которую расследовал Malwarebytes, инструмент сгенерировал 60 записей в файлы, которые, вероятно, были журналами украденных учётных данных. Действие по удалению файла может быть результатом попытки злоумышленника скрыть свою активность в системе.
