Les acteurs de la menace utilisent un “outil d’\u00e9vasion de la d\u00e9fense” jusque-l\u00e0 non document\u00e9 appel\u00e9 AuKill<\/b> qui est con\u00e7u pour d\u00e9sactiver le logiciel de d\u00e9tection et de r\u00e9ponse des points de terminaison (EDR) au moyen d’une attaque BYOVD (Bring Your Own Vulnerable Driver).<\/p>\n
“L’outil AuKill abuse d’une version obsol\u00e8te du conducteur<\/a> utilis\u00e9 par la version 16.32 de l’utilitaire Microsoft, Explorateur de processus<\/a>pour d\u00e9sactiver les processus EDR avant de d\u00e9ployer une porte d\u00e9rob\u00e9e ou un ran\u00e7ongiciel sur le syst\u00e8me cible \u00bb, a d\u00e9clar\u00e9 Andreas Klopsch, chercheur chez Sophos. a dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re.<\/p>\n Les incidents analys\u00e9s par la firme de cybers\u00e9curit\u00e9 montrent l’utilisation d’AuKill depuis d\u00e9but 2023 pour d\u00e9ployer diverses souches de ransomwares comme Medusa Locker et LockBit. Six versions diff\u00e9rentes du malware ont \u00e9t\u00e9 identifi\u00e9es \u00e0 ce jour. Le plus ancien \u00e9chantillon AuKill pr\u00e9sente un horodatage de compilation de novembre 2022.<\/p>\n La technique BYOVD repose sur des acteurs malveillants qui utilisent \u00e0 mauvais escient un pilote l\u00e9gitime, mais obsol\u00e8te et exploitable, sign\u00e9 par Microsoft (ou utilisent un certificat vol\u00e9 ou divulgu\u00e9) pour obtenir des privil\u00e8ges \u00e9lev\u00e9s et d\u00e9sactiver les m\u00e9canismes de s\u00e9curit\u00e9.<\/p>\n En utilisant des pilotes l\u00e9gitimes et exploitables, l’id\u00e9e est de contourner une protection cl\u00e9 de Windows connue sous le nom de Driver Signature Enforcement qui garantit que les pilotes en mode noyau ont \u00e9t\u00e9 sign\u00e9s par une autorit\u00e9 de signature de code valide avant qu’ils ne soient autoris\u00e9s \u00e0 s’ex\u00e9cuter.<\/p>\n “L’outil AuKill n\u00e9cessite des privil\u00e8ges administratifs pour fonctionner, mais il ne peut pas accorder ces privil\u00e8ges \u00e0 l’attaquant”, ont not\u00e9 les chercheurs de Sophos. “Les acteurs de la menace utilisant AuKill ont profit\u00e9 des privil\u00e8ges existants lors des attaques, lorsqu’ils les ont obtenus par d’autres moyens.”<\/p>\n Ce n’est pas la premi\u00e8re fois que le pilote Process Explorer sign\u00e9 par Microsoft est utilis\u00e9 comme arme lors d’attaques. En novembre 2022, Sophos a \u00e9galement d\u00e9taill\u00e9 l’utilisation par les affili\u00e9s de LockBit d’un outil open source appel\u00e9 Poignarder dans le dos<\/a> qui a abus\u00e9 des versions obsol\u00e8tes du pilote pour mettre fin aux processus anti-malware prot\u00e9g\u00e9s.<\/p>\n Plus t\u00f4t cette ann\u00e9e, une campagne de publicit\u00e9 malveillante a \u00e9t\u00e9 rep\u00e9r\u00e9e en utilisant le m\u00eame pilote pour distribuer un chargeur .NET nomm\u00e9 MalVirt pour d\u00e9ployer le logiciel malveillant de vol d’informations FormBook.<\/p>\n Le d\u00e9veloppement intervient en tant que centre d’intervention d’urgence de s\u00e9curit\u00e9 AhnLab (ASEC) r\u00e9v\u00e9l\u00e9<\/a> que les serveurs MS-SQL mal g\u00e9r\u00e9s sont militaris\u00e9s pour installer le Trigone<\/a> ransomware, qui partage des chevauchements avec une autre souche appel\u00e9e Crylock<\/a>.<\/p>\n Il suit \u00e9galement r\u00e9sultats<\/a> que les acteurs du ran\u00e7ongiciel Play (alias PlayCrypt) ont \u00e9t\u00e9 observ\u00e9s en utilisant des outils de collecte de donn\u00e9es personnalis\u00e9s qui permettent d’\u00e9num\u00e9rer tous les utilisateurs et ordinateurs sur un r\u00e9seau compromis et de copier des fichiers \u00e0 partir du service de clich\u00e9 instantan\u00e9 des volumes (VSS<\/a>).<\/p>\n Grixba, un voleur d’informations bas\u00e9 sur .NET, est con\u00e7u pour analyser une machine \u00e0 la recherche de programmes de s\u00e9curit\u00e9, de logiciels de sauvegarde et d’outils d’administration \u00e0 distance, et exfiltrer les donn\u00e9es collect\u00e9es sous la forme de fichiers CSV qui sont ensuite compress\u00e9s dans des archives ZIP.<\/p>\n \u00c9galement utilis\u00e9 par le gang de cybercriminels, suivi par Symantec sous le nom de Balloonfly, est un outil de copie VSS \u00e9crit en .NET qui utilise le Cadre AlphaVSS<\/a> pour r\u00e9pertorier les fichiers et les dossiers dans un instantan\u00e9 VSS et les copier dans un r\u00e9pertoire de destination avant le chiffrement.<\/p>\n Zero Trust + Deception\u00a0: apprenez \u00e0 d\u00e9jouer les attaquants\u00a0!<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n Play ransomware est remarquable non seulement pour utiliser cryptage intermittent<\/a> pour acc\u00e9l\u00e9rer le processus, mais aussi pour le fait qu’il n’est pas exploit\u00e9 sur un mod\u00e8le de ransomware-as-a-service (RaaS). Les preuves recueillies jusqu’\u00e0 pr\u00e9sent indiquent que Balloonfly a men\u00e9 les attaques de ran\u00e7ongiciels et d\u00e9velopp\u00e9 les logiciels malveillants eux-m\u00eames.<\/p>\n Grixba et VSS Copying Tool sont les derniers d’une longue liste d’outils propri\u00e9taires tels que Exmatter, Exoctet<\/a>et les scripts bas\u00e9s sur PowerShell qui sont utilis\u00e9s par les acteurs du ransomware pour \u00e9tablir plus de contr\u00f4le sur leurs op\u00e9rations, tout en ajoutant des couches suppl\u00e9mentaires de complexit\u00e9 pour persister dans les environnements compromis et \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n Une autre technique de plus en plus adopt\u00e9e par les groupes \u00e0 motivation financi\u00e8re est l’utilisation du langage de programmation Go pour d\u00e9velopper logiciels malveillants multiplateformes<\/a> et r\u00e9sister \u00e0 l’analyse<\/a> et r\u00e9tro-ing\u00e9nierie<\/a> efforts.<\/p>\n En effet, un rapport de Cyble la semaine derni\u00e8re a document\u00e9 un nouveau ran\u00e7ongiciel GoLang appel\u00e9 CrossLock qui utilise la technique de la double extorsion pour augmenter la probabilit\u00e9 de paiement de ses victimes, tout en prenant des mesures pour \u00e9viter le tra\u00e7age des \u00e9v\u00e9nements pour Windows (ETW<\/a>).<\/p>\n “Cette fonctionnalit\u00e9 peut permettre au logiciel malveillant d’\u00e9viter d’\u00eatre d\u00e9tect\u00e9 par les syst\u00e8mes de s\u00e9curit\u00e9 qui d\u00e9pendent des journaux d’\u00e9v\u00e9nements”, a d\u00e9clar\u00e9 Cyble. a dit<\/a>. “CrossLock Ransomware effectue \u00e9galement plusieurs actions pour r\u00e9duire les chances de r\u00e9cup\u00e9ration des donn\u00e9es tout en augmentant simultan\u00e9ment l’efficacit\u00e9 de l’attaque.”<\/p>\n <\/p>\n