Un groupe de cybercriminels ayant des liens avec le ransomware RansomHub a \u00e9t\u00e9 observ\u00e9 en train d’utiliser un nouvel outil con\u00e7u pour mettre fin aux logiciels de d\u00e9tection et de r\u00e9ponse aux points de terminaison (EDR) sur les h\u00f4tes compromis, rejoignant ainsi d’autres programmes similaires comme AuKill (alias AvNeutralizer) et Terminator.<\/p>\n
L’utilitaire de suppression d’EDR a \u00e9t\u00e9 surnomm\u00e9 EDRKillShifter par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Sophos, qui a d\u00e9couvert l’outil en lien avec une attaque de ransomware rat\u00e9e en mai 2024.<\/p>\n
\u00ab L’outil EDRKillShifter est un ex\u00e9cutable \u00ab chargeur \u00bb \u2013 un m\u00e9canisme de livraison pour un pilote l\u00e9gitime vuln\u00e9rable aux abus (\u00e9galement connu sous le nom de \u00ab apportez votre propre pilote vuln\u00e9rable \u00bb ou Apportez votre propre vin<\/a>outil), ” chercheur en s\u00e9curit\u00e9 Andreas Klopsch dit<\/a>\u00ab En fonction des exigences de l’acteur de la menace, il peut fournir une vari\u00e9t\u00e9 de charges utiles de pilotes diff\u00e9rentes. \u00bb<\/p>\n RansomHub, une version pr\u00e9sum\u00e9e du ransomware Knight, a fait surface en f\u00e9vrier 2024, exploitant des failles de s\u00e9curit\u00e9 connues pour obtenir un acc\u00e8s initial et supprimer des logiciels de bureau \u00e0 distance l\u00e9gitimes tels qu’Atera et Splashtop pour un acc\u00e8s persistant.<\/p>\n Le mois dernier, Microsoft a r\u00e9v\u00e9l\u00e9 que le c\u00e9l\u00e8bre syndicat de cybercriminalit\u00e9 connu sous le nom de Scattered Spider a int\u00e9gr\u00e9 des souches de ransomware telles que RansomHub et Qilin dans son arsenal.<\/p>\n Ex\u00e9cut\u00e9 via la ligne de commande avec une entr\u00e9e de cha\u00eene de mot de passe, l’ex\u00e9cutable d\u00e9crypte une ressource int\u00e9gr\u00e9e nomm\u00e9e BIN et l’ex\u00e9cute en m\u00e9moire. La ressource BIN d\u00e9compresse et ex\u00e9cute une charge utile finale et obscurcie bas\u00e9e sur Go, qui exploite ensuite diff\u00e9rents pilotes vuln\u00e9rables et l\u00e9gitimes pour obtenir des privil\u00e8ges \u00e9lev\u00e9s et d\u00e9sarmer le logiciel EDR.<\/p>\n \u00ab La langue du binaire est le russe, ce qui indique que l’auteur du malware a compil\u00e9 l’ex\u00e9cutable sur un ordinateur avec des param\u00e8tres de localisation russes \u00bb, a d\u00e9clar\u00e9 Klopsch. \u00ab Tous les tueurs EDR d\u00e9compress\u00e9s int\u00e8grent un pilote vuln\u00e9rable dans la section .data. \u00bb<\/p>\n Pour att\u00e9nuer la menace, il est recommand\u00e9 de maintenir les syst\u00e8mes \u00e0 jour, d\u2019activer la protection contre les falsifications dans le logiciel EDR et de pratiquer une hygi\u00e8ne rigoureuse pour les r\u00f4les de s\u00e9curit\u00e9 Windows.<\/p>\n \u00ab Cette attaque n’est possible que si l’attaquant augmente les privil\u00e8ges qu’il contr\u00f4le ou s’il peut obtenir des droits d’administrateur \u00bb, a d\u00e9clar\u00e9 Klopsch. \u00ab La s\u00e9paration entre les privil\u00e8ges d’utilisateur et d’administrateur peut aider \u00e0 emp\u00eacher les attaquants de charger facilement les pilotes. \u00bb<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Le-groupe-RansomHub-deploie-un-nouvel-outil-de-suppression-des.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n