Bewapening van wettige laevlak-gereedskap: Hoe losprysware antivirusbeskerming ontduik
INHOUDSOPGAWE
- Inleiding
- Die "Dubbelgebruiksdilemma": Waarom aanvallers wettige gereedskap verkies
- Waarom Antivirus Neutralisering Saak Maak
- Historiese Evolusie van Antivirus Neutralisering
- Die losprysware-doodketting
- Stadiums van die misbruik van wettige laevlak-instrumente
- Fase 1: Laevlak-gereedskap vir antivirusneutralisering en voorreg-eskalasie
- Fase 2: Geloofsbriewediefstal, kernmanipulasie en losprysware-implementeringsinstrumente
- Voorbeelde van regstreekse veldtogte: Van antivirus-uitskakeling tot losprysware
- Threat Actor TTP Mapping (MITRE ATT&CK)
- Opkomende tendense en toekomstige bedreigings
- Hoe Seqrite Beskerm teen hierdie aktiwiteite
- Aanbevelings vir opsporing en insidentrespons vir gevorderde bedreigings
- Beste praktyke en aanbevelings vir sekuriteit
- Gevolgtrekking
Inleiding:
Losprysware is nie meer net 'n stuk kwaadwillige kode nie – dit word soos 'n besigheid bestuur. Moderne aanvalle ontvou in sorgvuldig beplande stadiums en teiken almal van tuisgebruikers tot klein besighede en groot ondernemings. In plaas daarvan om slegs op persoonlike wanware staat te maak, tree vandag se teenstanders meer op soos penetrasietoetsers met slegte bedoelings: hulle bestudeer verdediging, soek na swak plekke en gebruik dan wettige laevlak-gereedskap teen die einste stelsels wat bedoel is om beskerm te word.
Neem hulpprogramme soos Process Hacker, IOBit Unlocker, PowerRun of AuKill. Hierdie is oorspronklik geskep om IT-spanne te help om stelsels op te los, die register te bestuur of met drywers te werk. Maar in die verkeerde hande word hulle wapens, wat gebruik word om antivirusbeskerming stilweg af te skakel voordat ransomware ooit sy gesig wys.
Waarom aanvallers hulle verkies:
- Vertrouensfaktor: Omdat hulle digitaal onderteken is en algemeen gebruik word, behandel sekuriteitstelsels hulle dikwels as veilig.
- vermoë: Hulle gee aanvallers beheer op STELSEL- of selfs kernvlak, iets wat gewone wanware dikwels nie op sy eie kan bereik nie.
- stealth: Hul aktiwiteit lyk soos normale administrateurwerk en laat baie min spore agter.
Hierdie "dubbele gebruiksdilemma" is presies wat hulle so gevaarlik maak - gereedskap wat ontwerp is om probleme op te los, kan net so maklik omskep word in die perfekte wapens vir die aftakeling van sekuriteit, alles sonder om alarm te maak.
Waarom Antivirus Neutralisering Saak Maak
Die deaktivering van antivirus is nie net 'n klein stap in 'n ransomware-veldtog nie – dis 'n doelbewuste taktiek om die weg te baan vir die uitvoering van vragte. Sekuriteitsinstrumente is gebou om kwaadwillige lêers te blokkeer, verdagte gedrag op te neem en verdedigers intyds te waarsku. Deur hulle af te skakel, verseker aanvallers dat hul bedrywighede stil en ononderbroke bly.
Hier is hoe die deaktivering van sekuriteitsmaatreëls die aanvaller direk bevoordeel:
- Antivirus sal ransomware-vragte blokkeer op die oomblik van uitvoering.
- EDR sou abnormale lêerenkripsiegedrag vasvang en aanteken.
- Forensiese artefakte kan SOC-spanne die kans gee om te reageer.
- Deur hierdie beskermings te deaktiveer, skep aanvallers 'n stil sone waar ransomware ongemerk kan loop.
Historiese Evolusie van Antivirus Neutralisering
Lospryswaregroepe het nie net stilgestaan nie—hulle het voortdurend verfyn hoe hulle antivirusverdediging omseil. Wat begin het as eenvoudige, skripgebaseerde aanvalle het gegroei tot hoogs gesofistikeerde bedrywighede, insluitend kernvlakmanipulasies en gereedgemaakte modules wat nou standaard in losprysware-as-'n-diens (RaaS)-stelle is. Die tabel hieronder som hierdie vordering op:
| Tydperk | Primêre Neutralisasietegniek | Verteenwoordigende Ransomware-families |
| 2015 - 2017 | Basiese skrifte (taskkill/net stop) | Kripto-sluiter, WannaCry |
| 2018 - 2020 | Misbruik van Proses-Hackers | Ryuk, DoppelPaymer |
| 2021 - 2023 | Manipulasie van drywers op kernvlak | Conti, LockBit 2.0 |
| 2024 - Aanwesig | Voorverpakte Antivirus-moordenaarmodules in RaaS-stelle | LockBit 3.0, BlackCat |
Oor die jare het aanvallers van die uitvoering van eenvoudige opdragte na die peuter van direk met die bedryfstelsel oorgeskakel, en nou maak hulle staat op outomatiese RaaS-kits wat antivirus-neutraliseerders standaard saamvoeg – wat hierdie aanvalle vinniger, meer onopvallend en moeiliker maak om te stop.
Die losprysware-doodketting
Losprysware-aanvalle volg tipies 'n doelbewuste reeks stappe, dikwels na verwys as die doodmaakketting, wat 'n inbraak neem van aanvanklike kompromie tot wydverspreide enkripsie en operasionele ontwrigting. Wanneer aanvallers wettige laevlak-gereedskap gebruik, word hierdie ketting selfs meer onopvallend en doeltreffend. Elke stadium word noukeurig ontwerp om verdediging te omseil, hoër voorregte te verkry en te verseker dat die losprysware sy missie ongemerk voltooi.
- Aanvanklike toegang – Aanvallers verkry toegang deur middel van phishing-e-posse, gesteelde geloofsbriewe of misbruikte afstandtoegangshulpmiddels (RAT's) en vestig hul eerste vastrapplek.
- Bevordering van voorregte – Gereedskap soos PowerRun of YDArk word uitgebuit om toestemmings op SYSTEEM- of kernvlak te verkry.
- Antivirus Neutralisering – Sekuriteitsagteware word gedeaktiveer deur antivirus- en EDR-prosesse te stop of te deaktiveer.
- Geloofsbrief Diefstal – Hulpprogramme soos Mimikatz onttrek gestoorde wagwoorde en tokens om lateraal oor die netwerk te beweeg.
- Volharding en Opruiming – Gereedskap soos Unlock_IT of Atool_ExperModel verwyder logs en deaktiveer opstartroetines om spore van die indringing weg te steek.
- Loonvrag uitvoering – Laastens word die ransomware ontplooi, wat lêers enkripteer terwyl dit met normale stelselaktiwiteit saamsmelt.
Stadiums van die misbruik van wettige laevlak-instrumente
Teenstanders volg tipies 'n tweefase-proses wanneer hulle administratiewe en laevlak-nutsdienste in ransomware-veldtogte misbruik. Elke fase het 'n duidelike doelwit en maak gebruik van 'n afsonderlike stel gereedskap:
Fase 1: Laevlak-gereedskap vir antivirusneutralisering en voorreg-eskalasie
Aanvallers maak dikwels staat op 'n mengsel van lêerontsluiters, prosesmoordenaars, voorreg-eskalasie-hulpprogramme en geloofsbriewe-dumpers. Deur hierdie kategorieë van wettige gereedskap te misbruik, deaktiveer hulle sistematies antivirusverdediging, vee spore uit en berei die omgewing voor vir die uitvoering van ransomware. Die tabel hieronder konsolideer die mees algemeen misbruikte gereedskap in vier hoofkategorieë.
| Tool | Wettige doel | Aanvalscenario (Kwaadwillige Gebruik + Stille opdragreël Voorbeeld + Tegniese Vloei) | Sekuriteitsimpak |
| IOBit-ontsluiter | Ontsluit geslote lêers | Vee Antivirus-binêre lêers stilweg uit → IOBitUnlocker.exe /delete “C:\Program Files\AV\avp.exe” → Gebruik NtUnlockFile API om OS-slotte te omseil | Voorkom dat antivirus herbegin of opdateer |
| TDSkiller | Rootkit-verwydering | Misbruik om antivirus-kerndrywers af te laai → tdsskiller.exe -silent -tdlfs → Blokkeer dat antivirus-kernmodules herlaai word | Verswak kernvlakverdediging |
| Windows Kernel Explorer (WKE) | Kernontfouter | Direkte dryweraflaai en kernobjekmanipulasie via PsSetCreateProcessNotifyRoutine → aanvaller beheer OS-kern | Verleen volle OS-beheer |
| Atool_ExpertModel | Register-/prosesdiagnostiek | Vee Antivirus-opstartsleutels uit → atool.exe /regdel HKLM\SOFTWARE\AVVendor\Startup → Onderbreek volharding deur geskeduleerde take te verwyder | Antivirus begin nie outomaties na herlaai nie |
| Proses hacker | Taakbestuurder/ontfouter | Beëindig antivirusprosesse via SeDebugPrivilege → taskkill /IM Antivirusguard.exe /F | Skakel onmiddellik intydse antivirusmonitering af |
| ProsesKO | Vinnige prosesbeëindiging | Beëindig Antivirusdienste onmiddellik → ProcessKO.exe -maak Antivirusservice.exe dood | Maak intydse beskerming binne sekondes skoon |
Fase 2: Geloofsbriewediefstal, kernmanipulasie en losprysware-implementeringsinstrumente
Sodra antivirusprosesse geneutraliseer is, wend aanvallers hulle tot die steel van geloofsbriewe, die manipulering van kernvlak-verdediging en die uitvoering van losprysware-vragte met verhoogde voorregte. Hierdie gereedskap is baie gevaarliker omdat dit op die STELSEL- of kernvlak werk, wat teenstanders toelaat om lateraal te beweeg, sekuriteitterugroepe te deaktiveer en enkripsievragte sonder onderbreking te loods. Die tabel hieronder beklemtoon die mees algemeen misbruikte gereedskap in hierdie stadium:
| Tool | Wettige doel | Aanvalscenario (Kwaadwillige Gebruik + Stille Opdragreël Voorbeeld + Tegniese Vloei) | Sekuriteitsimpak |
| 0th3r_av5.exe | Admin nutsgoed vermomming | Skripgedrewe hulpmiddel herhaal stilweg oor antivirusdienste, maak prosesse gelyktydig grootliks dood | Neutraliseer verskeie antivirusagente gelyktydig |
| HRSword | Diens-/drywerbestuurshulpmiddel (wettige administrateurshulpmiddel) | Manipuleer diens-/drywerstatus om Antivirus te deaktiveer en herinstallasie te voorkom → voorbeeld stil opdrag: HRSword.exe /service stop “avservice” /disable → stop teikendiens, stel ServiceStart op gedeaktiveer, en werk diensbinêre pad of herstelopsies op om outomatiese herbegin te voorkom | Voorkom herstel en herinstallasie van antivirusdienste; verleng aanvaller se verblyftyd en belemmer remediëring. |
| YDArk | Kernmanipulasie | Deaktiveer Antivirus-terugroepe → ydark.exe -unload Antivirusdriver.sys → Koppel PsSetCreateThreadNotifyRoutine vir sluipende volharding | Ondermyn kernbeskermings |
| PowerRun | Begin programme as SYSTEM | Voer ransomware-vrag op SYSTEEM-vlak uit → PowerRun.exe ransomware.exe | Omseil gebruikersvlakbeperkings, volle voorreg |
| Ontsluit_IT | Ontsluit lêers/register | Vee antiviruslogboeke uit → UnlockIT.exe /unlock HKLM\Security\AVLogs → Vee registerinskrywings en forensiese spore uit | Onderbreek loggebaseerde ondersoek |
| HackTool AuKill | Antivirus-neutralisator | Maak eksplisiet Antivirus/EDR-prosesse dood → Antiviruskiller.exe –kill –all | Skep blindekol vir die ontplooiing van ransomware |
| Mimikatz | Gereedskap vir die storting van geloofsbriewe | Onttrek gekaste administrateurbewyse → mimikatz.exe privilege::debug sekurlsa::logonpasswords → Lees LSASS-geheue | Maak laterale verspreiding moontlik via gesteelde geloofsbriewe |
Voorbeelde van Regstreekse Veldtogte: Van Antivirus-uitskakeling tot Losprysware:
Ransomware-operateurs maak dikwels staat op wettige lae-vlak-stelselhulpprogramme om antivirusbeskerming te neutraliseer, voorregte te verhoog en die perfekte omgewing vir die uitvoering van vragte te skep. Hieronder is 'n gekonsolideerde oorsig van wyd misbruikte gereedskap en die ransomware-veldtogte waar hulle waargeneem is:
| Tool | Geassosieerde Ransomware-veldtogte |
| IOBit-ontsluiter | LockBit Black 3.0, Weaxor, TRINITY, Proton / Shinra, Mimic, Makop, Dharma, Mallox, Phobos |
| Proses hacker | Phobos, Makop, Dharma, GlobeImposter 2.0 |
| Windows Kernel Explorer (WKE) | Dharma (.cezar Familie), TRINITY, MedusaLocker |
| HRSword | Phobos, GlobeImposter 2.0, Makop |
| YDArk | Weaxor, Phobos |
| TDSkiller | swartbietjie |
| Atool (Atool_ExperModel) | Trigona |
| ProsesKO | Makop |
| 0th3r_av5.exe | MedusaLocker |
| Ontsluit_IT | Teikenmaatskappy |
| Mimikatz | INC Ransomware |
Threat Actor TTP Mapping (MITRE ATT&CK)
Elke ransomware-veldtog volg 'n patroon, en aanvallers tree selde lukraak op. Hulle kies noukeurig gereedskap en tegnieke wat ooreenstem met hul doelwitte in elke stadium van die aanval. Deur hierdie aksies aan die MITRE ATT&CK-raamwerk te koppel, kan ons beter verstaan hoe wettige laevlak-nutsdienste vir kwaadwillige gebruik hergebruik word.
Die tabel hieronder toon hoe teenstanders beweeg van voorreg-eskalasie na die deaktivering van verdediging, die steel van geloofsbriewe, en uiteindelik die uitvoering van hul ransomware-vrag – alles terwyl hulle vertroude gereedskap misbruik wat nooit vir misdaad ontwerp is nie. Hierdie kartering maak dit makliker vir verdedigers om die aanvaller se speelboek te visualiseer en geleenthede te identifiseer om die indringing op te spoor of te ontwrig voordat skade aangerig word.
| Stadium | Tegniek | MITRE ATT&CK Subtegniek-ID | Gereedskap betrokke | aktiwiteite |
| Bevordering van voorregte | Misbruik Hoogtebeheermeganisme | T1548.002 | PowerRun, WKE, YDArk | STELSEL/kerntoegang |
| Verdedigingsontduiking | Deaktiveer Sekuriteitshulpmiddels | T1562.001 | AuKill, IOBit-ontsluiter, ProcessKO, Proses-hacker | Omseil Antivirus/EDR |
| Toegang tot geloofsbriewe | OS-bewysstukstorting | T1003.001 | Mimikatz | Laterale beweging |
| Volharding | Wysig Register | T1112 | Ontsluit_IT, Atool_ExpertModel | Handhaaf Antivirus-gedeaktiveerde toestand |
| Verdedigingsontduiking | Lêerverwydering / Logskoonmaak | T1070.004 | Ontsluit_IT | Verwyder forensiese bewyse |
| Discovery | Stelseldiensontdekking | T1082 | Proses Hacker, PowerRun | Identifiseer lopende antivirusprosesse |
| impak | Inhibeer stelselherstel | T1490 | ProsesKO, Ontsluit_IT | Blokkeer herstelopsies |
| impak | Data geïnkripteer vir impak | T1486 | Alle gereedskap | Berei ransomware-vrag voor |
Opkomende tendense en toekomstige bedreigings
Losprysware word vinniger, slimmer en moeiliker om op te spoor. Belangrike opkomende tendense sluit in:
- RaaS Antivirus Moorders – Voorafgeboude skripte in ransomware-kits wat ontwerp is om antivirusverdediging outomaties te deaktiveer.
- Kernvlak-eskalasie – Aanvallers buit drywers uit om geheime, hoëvlakbeheer oor stelsels te verkry.
- Multi-gereedskapskettings – Hulpprogramme soos PowerRun, Unlock_IT en AuKill word gekombineer om sekuriteitslae betroubaar te omseil.
- KI-ondersteunde tegnieke – KI help outomaties om die mees effektiewe neutralisasiemetode vir elke omgewing te kies.
- Voorsieningskettingaanvalle – Trojaanse administratiewe gereedskap en vals sagteware-opdaterings skep nuwe infeksievektore.
- Wolkeindpuntteikenstelling – Hibriede wolkinfrastrukture en hul sekuriteitsinstrumente is toenemend kwesbaar vir gesofistikeerde aanvalle.
Hierdie tendense dui daarop dat ransomware ontwikkel na meer outomatiese, presiese en ontwykende operasies, wat proaktiewe verdedigingsstrategieë noodsaaklik maak.
Hoe Seqrite Beskerm teen hierdie aktiwiteite
Seqrite bied gelaagde verdediging om gesofistikeerde ransomware en antivirus-neutraliseringstaktieke teen te werk deur Volgende EPP:
- Virusbeskerming – Identifiseer en blokkeer trojaniese installeerders, kwaadwillige skripte en ransomware-vragte voordat hulle kan uitvoer.
- Antivirus Selfbeskerming – Voorkom dat aanvallers antivirusprogrammatuur met geweld beëindig of deïnstalleer.
- Gedragsopsporing – Monitor vir verdagte aksies soos massaprosesbeëindiging, registerpeuter.
- Ransomware Protection – Bespeur abnormale lêerenkripsie-aktiwiteit intyds, wat ransomware stop voordat dit versprei
- Toepassingsbeheer – Beperk die uitvoering van ongekeurde nutsdienste en administratiewe gereedskap om misbruik te voorkom. Saam bied hierdie kenmerke proaktiewe en reaktiewe beskerming, wat eindpunte veilig hou, selfs teen gevorderde, meerfasige aanvalle.
Ons monitor die bedreigingslandskap voortdurend en soek proaktief na nuwe of gewysigde variante van misbruikte nutsdienste, en werk ons opsporingsmodules en gedragsreëls vinnig op om effektiewe dekking te handhaaf.
Aanbevelings vir opsporing en insidentrespons vir gevorderde bedreigings
Beskerming teen moderne ransomware vereis proaktiewe monitering en gestruktureerde reaksiestrategieë:
- Prosesbeëindigingsmonitering – Bespeur verdagte massa-beëindiging van antivirus- of EDR-prosesse.
- Register- en Lêerouditering – Spoor veranderinge aan antivirusverwante registersleutels, logboeke en opstartinskrywings op.
- Gedragsanalise – Identifiseer ongewone uitvoering op SYSTEEMvlak en wysigings op kernvlak.
- Opsporing van geloofsbriewediefstal – Monitor toegangspatrone tot LSASS en ander geloofsbriewewinkels.
- Toepassingsbeheer – Beperk uitvoering tot administratiewe gereedskap op die witlys om misbruik te voorkom.
- Spelboeke en waarskuwings – Outomatiseer waarskuwings vir aanvalreekse soos voorreg-eskalasie → Antivirus-beëindiging → register-/logboekveranderinge → ransomware-uitvoering.
- Eindpunt-isolasie – Isoleer geaffekteerde toestelle vinnig om die bedreiging te beperk en laterale beweging te voorkom.
Hierdie stappe help organisasies om gesofistikeerde aanvalle vroegtydig op te spoor en op 'n gestruktureerde, tydige wyse te reageer, wat die risiko van volskaalse ontwrigting verminder.
Beste praktyke en aanbevelings vir sekuriteit
Die implementering van proaktiewe sekuriteitsmaatreëls kan die risiko van ransomware en gevorderde aanvalle aansienlik verminder:
- Dwing MFA vir Administrateurs af – Vereis multifaktor-verifikasie om bevoorregte rekeninge teen kompromie te beskerm.
- Aktiveer Toepassing Witlys – Blokkeer ongekeurde of ongeverifieerde binêre lêers, en stop kwaadwillige gereedskap voordat hulle kan uitvoer.
- Monitor Beëindigingsgebeurtenisse – Ontdek en waarsku voortdurend oor verdagte bevele soos sc stop, net stop of taskkill.
- Beperk lae-vlak gereedskapgebruik – Beperk uitvoering tot slegs geverifieerde, besigheidskritieke administratiewe gereedskap.
- Veranderinge in die ouditregister – Spoor wysigings aan registersleutels op wat met antivirus-, EDR- of opstartkonfigurasies geassosieer word, en merk dit op.
- Onderrig SOC-spanne – Lei sekuriteitsontleders op om subtiele pogings om verdediging te omseil of te neutraliseer, raak te sien.
- Isoleer administratiewe nutsdienste – Verskaf slegs toegang tot sensitiewe gereedskap via veilige, gemonitorde springbokse.
Deur hierdie beste praktyke te volg, verseker dit dat organisasies sterk beheer oor kritieke stelsels handhaaf, verdagte aktiwiteite vroegtydig opspoor en die impak van potensiële aanvalle verminder.
Gevolgtrekking
Laevlak-administratiewe gereedskap, oorspronklik ontwerp om IT-bedrywighede meer doeltreffend te maak, word toenemend as wapens in ransomware-veldtogte gebruik. Aanvallers buit hulle uit om antivirus- en EDR-verdediging te deaktiveer, onopvallende volharding te handhaaf en stelsels voor te berei vir stille, grootskaalse enkripsie. Wat eens vertroude nutsdienste was, het nou van die gevaarlikste moontlikmakers van kuberaanvalle geword.
Die belangrikste gevolgtrekking is duidelik: dubbelgebruik-instrumente verteenwoordig 'n ernstige risiko vir ondernemingssekuriteit. Die bekamping van hierdie bedreiging vereis gelaagde verdediging wat die sterkte van Quick Heal / kombineer. Seqrite beskerming met streng bestuur en beheer oor administratiewe nutsdienste. Deur hierdie gereedskap terug te eis as vertroude bondgenote van verdedigers eerder as wapens vir aanvallers, kan organisasies teenstanders hul sluipvoordeel ontsê en kritieke infrastruktuur teen moderne ransomware-veldtogte beskerm.
Ons monitor die bedreigingslandskap voortdurend, soek proaktief na nuwe of gewysigde instrumentvariante en voer daardie ontdekkings direk in ons opsporingsmodules in – en verseker dat ons dekking ontwikkel soos aanvallers taktiek verander.
Skrywers
skrywerMatin Tadvi
Mede-outeurSumit Patil
