Cyberkriminelle finden immer neue Wege, um an ihr Ziel zu kommen. Die bereits im Juni 2024 beobachtete Ransomware-Gruppe Embargo nutzt raffinierte Schadsoftware, mit der sie bestimmte Endpoint-Detection-and-Response(EDR)-Lösungen aushebeln und deaktivieren kann – mit Hilfe eines Treibers.
Möglich macht das Aushebeln bestimmter Endpoint-Detection-and-Response(EDR)-Lösungen die geschickte Ausnutzung des abgesicherten Modus und eines anfälligen Treibers. Ist die Sicherheitssoftware erst einmal lahmgelegt, stehlen die Kriminellen wertvolle Daten vom Rechner und verschlüsseln sie. Zudem drohen sie mit der Veröffentlichung der gestohlenen Informationen und fordern Lösegeld. Anwender der EDR- und MDR-Lösungen von ESET sind davon nicht betroffen und sicher.
„Embargo ist eine gut ausgerüstete Gruppe“, erklärt ESET Forscher Jan Holman, zusammen mit seinem Kollegen Tomáš Zvara die Untersuchung durchgeführt hat. „Gleichzeitig steht sie aber noch am Anfang ihrer zweifelhaften Karriere und beginnt gerade erst, ihre Marke aufzubauen. Außerdem gehen wir davon aus, dass es sich bei Embargo um einen Ransomware-as-a-Service-Anbieter handelt, der seine Dienste Partnern anbietet.“
Zwei Werkzeuge reichen für einen erfolgreichen Angriff
Die Hacker setzen im aktuellen Fall auf zwei Werkzeuge: einen Loader (MDeployer), also ein Programm, das nach seiner Installation weiteren Code nachladen und ausführen kann, und einen EDR-Killer (MS4Killer). Dabei handelt es sich um eine Schadsoftware, die Sicherheitssoftware auf den Ziel-Computern deaktivieren soll. Diese Taktik kommt bei mehreren Ransomware-Gruppen zum Einsatz.
MDeployer missbraucht den abgesicherten Modus, um Sicherheitslösungen zu deaktivieren. Hierfür führt der Loader MS4Killer aus, ein typisches Werkzeug, mit dem sich die Verteidigung eines Computers umgehen lässt: Mit Hilfe der sogenannten Bring-your-own-vulnerable-driver(BYOVD)-Technik beendet es Prozesse von solchen EDR-Lösungen. Dies gelingt, indem das Werkzeug signierte, anfällige Kernel-Treiber missbraucht, um eigenen Programm-Code auszuführen.
Ransomware-Banden greifen häufig auf BYOVD-Werkzeuge zurück, um die Software zu manipulieren, die die angegriffene Infrastruktur schützt. Nachdem sie diese Schutzmechanismen deaktiviert haben, installieren die Hacker dann die Ransomware – und das ohne Gefahr, entdeckt zu werden. Die Hacker können ihre Werkzeuge sogar während des Angriffs an bestimmte Sicherheitslösungen anpassen, um diese zu umgehen. Die Werkzeuge sind in der Programmiersprache Rust geschrieben.
Mehr bei ESET.com
Über ESET ESET ist ein europäisches Unternehmen mit Hauptsitz in Bratislava (Slowakei). Seit 1987 entwickelt ESET preisgekrönte Sicherheits-Software, die bereits über 100 Millionen Benutzern hilft, sichere Technologien zu genießen. Das breite Portfolio an Sicherheitsprodukten deckt alle gängigen Plattformen ab und bietet Unternehmen und Verbrauchern weltweit die perfekte Balance zwischen Leistung und proaktivem Schutz. Das Unternehmen verfügt über ein globales Vertriebsnetz in über 180 Ländern und Niederlassungen in Jena, San Diego, Singapur und Buenos Aires. Für weitere Informationen besuchen Sie www.eset.de oder folgen uns auf LinkedIn, Facebook und Twitter.