MÜNCHEN (IT BOLTWISE) – Die Bedrohung durch Ransomware nimmt weiter zu, und die Medusa-Ransomware-Gruppe hat nun eine neue Methode entwickelt, um Sicherheitsmaßnahmen zu umgehen. Durch den Einsatz eines bösartigen Treibers, der mit gestohlenen Zertifikaten signiert ist, gelingt es den Angreifern, Anti-Malware-Tools zu deaktivieren und so unbemerkt in Systeme einzudringen.
Die Medusa-Ransomware-Gruppe hat eine neue Taktik entwickelt, um Sicherheitsmaßnahmen zu umgehen und ihre Angriffe effektiver zu gestalten. Dabei setzen sie auf einen bösartigen Treiber namens ABYSSWORKER, der im Rahmen eines sogenannten ‘Bring Your Own Vulnerable Driver’ (BYOVD)-Angriffs eingesetzt wird. Diese Methode ermöglicht es den Angreifern, Anti-Malware-Tools zu deaktivieren und so unbemerkt in Systeme einzudringen.
Elastic Security Labs hat einen Angriff beobachtet, bei dem der Medusa-Ransomware-Loader über einen Dienst namens HeartCrypt bereitgestellt wurde. Dieser Loader wird zusammen mit einem widerrufenen, zertifikatsignierten Treiber eines chinesischen Anbieters installiert, den das Unternehmen ABYSSWORKER nennt. Der Treiber imitiert einen legitimen CrowdStrike Falcon-Treiber und wird verwendet, um verschiedene EDR-Anbieter zu umgehen.
Die Tatsache, dass die Malware signiert ist, verleiht ihr einen Anschein von Vertrauenswürdigkeit und ermöglicht es ihr, Sicherheitssysteme zu umgehen, ohne Aufmerksamkeit zu erregen. Der Treiber, der zuvor von ConnectWise dokumentiert wurde, ist darauf ausgelegt, Prozesse zu beenden und EDR-Systeme dauerhaft zu deaktivieren. Dies wird durch eine Reihe von I/O-Kontrollcodes erreicht, die eine Vielzahl von Operationen abdecken, von der Dateimanipulation bis zur Prozess- und Treiberterminierung.
Besonders bemerkenswert ist der I/O-Kontrollcode 0x222400, der verwendet wird, um Sicherheitsprodukte zu blenden, indem alle registrierten Benachrichtigungs-Callbacks entfernt werden. Diese Technik wird auch von anderen EDR-killenden Tools wie EDRSandBlast und RealBlindingEDR verwendet. Die Angreifer nutzen diese Schwachstellen, um sich privilegierten Zugriff zu verschaffen und eine Remote-Desktop-Protokoll-Verbindung zu den infizierten Systemen herzustellen, was einen dauerhaften Zugang ermöglicht.
Die Entwicklung dieser Taktik zeigt, wie raffiniert und anpassungsfähig Ransomware-Gruppen geworden sind. Sie nutzen Schwachstellen in legitimen, aber anfälligen Treibern aus, um Sicherheitsfunktionen zu umgehen und vollständige Kontrolle über infizierte Maschinen zu erlangen. Dies ermöglicht es ihnen, sensible Informationen wie Benutzerpasswörter und andere gespeicherte Anmeldeinformationen zu exfiltrieren, was weitere Ausbeutungen ermöglicht.
Die Bedrohung durch Ransomware bleibt eine der größten Herausforderungen für die Cybersicherheit. Unternehmen müssen wachsam bleiben und ihre Sicherheitsmaßnahmen kontinuierlich anpassen, um sich gegen diese immer ausgefeilteren Angriffe zu schützen. Die Nutzung gestohlener Zertifikate und die Umgehung von Sicherheitsmaßnahmen durch bösartige Treiber sind nur einige der vielen Techniken, die von Angreifern eingesetzt werden, um ihre Ziele zu erreichen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Medusa-Ransomware nutzt gestohlene Zertifikate zur Umgehung von Sicherheitsmaßnahmen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Medusa-Ransomware nutzt gestohlene Zertifikate zur Umgehung von Sicherheitsmaßnahmen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Medusa-Ransomware nutzt gestohlene Zertifikate zur Umgehung von Sicherheitsmaßnahmen« bei Google Deutschland suchen, bei Bing oder Google News!