Operator ransomware RansomHub kini menyebarkan malware baru untuk menonaktifkan perangkat lunak keamanan Endpoint Detection and Response (EDR) dalam serangan Bring Your Own Vulnerable Driver (BYOVD).
Dinamakan EDRKillShifter oleh peneliti keamanan Sophos yang menemukannya selama investigasi ransomware pada bulan Mei 2024, malware tersebut menyebarkan driver yang sah dan rentan pada perangkat yang ditargetkan untuk meningkatkan hak istimewa, menonaktifkan solusi keamanan, dan mengambil alih sistem.
Teknik ini sangat populer di kalangan berbagai pelaku ancaman, mulai dari yang bermotivasi finansial geng ransomware ke kelompok peretas yang didukung negara.
“Selama insiden pada bulan Mei, pelaku ancaman – kami memperkirakan dengan keyakinan sedang bahwa alat ini digunakan oleh banyak penyerang – mencoba menggunakan EDRKillShifter untuk menghentikan perlindungan Sophos pada komputer yang menjadi target, tetapi alat tersebut gagal,” dikatakan Peneliti ancaman Sophos Andreas Klopsch.
“Mereka kemudian mencoba menjalankan ransomware yang dapat dieksekusi pada mesin yang mereka kendalikan, tetapi upaya itu juga gagal ketika fitur CryptoGuard pada agen titik akhir dipicu.”
Saat melakukan investigasi, Sophos menemukan dua sampel berbeda, keduanya dengan eksploitasi bukti konsep yang tersedia di GitHub: satu mengeksploitasi driver rentan yang dikenal sebagai SewaDrv2 dan yang lain mengeksploitasi pengemudi yang disebut AncamanPemantauKebakarankomponen paket pemantauan sistem yang sudah tidak digunakan lagi.
Sophos juga menemukan bahwa EDRKillShifter dapat mengirimkan berbagai muatan driver berdasarkan kebutuhan penyerang dan bahwa properti bahasa malware menunjukkan malware tersebut dikompilasi pada komputer dengan lokalisasi Rusia.
Eksekusi loader melibatkan tiga langkah: pertama, penyerang meluncurkan biner EDRKillShifter dengan rangkaian kata sandi untuk mendekripsi dan mengeksekusi sumber daya tertanam bernama BIN dalam memori. Kode ini kemudian membongkar dan mengeksekusi payload terakhir, yang membuang dan mengeksploitasi driver yang rentan dan sah untuk meningkatkan hak istimewa dan menonaktifkan proses dan layanan EDR yang aktif.
“Setelah malware membuat layanan baru untuk driver, memulai layanan, dan memuat driver, malware tersebut memasuki putaran tak berujung yang terus-menerus menghitung proses yang sedang berjalan, dan menghentikan proses jika namanya muncul dalam daftar target yang dikodekan secara permanen,” tambah Klopsch.
“Perlu dicatat juga bahwa kedua varian tersebut mengeksploitasi driver yang sah (meski rentan), menggunakan eksploitasi bukti konsep yang tersedia di Github. Kami menduga bahwa pelaku ancaman menyalin sebagian dari bukti konsep ini, memodifikasinya, dan memindahkan kode tersebut ke bahasa Go.”
Sophos menyarankan untuk mengaktifkan proteksi gangguan pada produk keamanan titik akhir, menjaga pemisahan antara hak istimewa pengguna dan admin guna mencegah penyerang memuat driver yang rentan, dan menjaga sistem tetap mutakhir, mengingat Microsoft terus membatalkan sertifikasi driver yang ditandatangani yang diketahui telah disalahgunakan dalam serangan sebelumnya.
Tahun lalu, Sophos menemukan malware pembunuh EDR lainnya, dijuluki AuKillyang menyalahgunakan driver Process Explorer yang rentan dalam serangan ransomware Medusa Locker dan LockBit. AuKill mirip dengan alat sumber terbuka yang dikenal sebagai tusukan dari belakangyang juga mengeksploitasi driver Process Explorer yang rentan dan telah digunakan oleh geng LockBit dalam setidaknya satu serangan yang diamati oleh Sophos X-Ops.
