Nyhet —

Utpressare kringgår drivrutiner med sofistikerad teknik

Ransomware-gänget BlackByte har börjat använda en sofistikerad ”Bring your own driver”-teknik för att kringgå mer än tusen drivrutiner som används i tjänster för så kallad Endpoint Detection and Response (EDR). Tidigare i år pekade FBI ut BlackByte som ett hot mot kritisk infrastruktur. Efter ett kort uppehåll återupptog BlackByte i maj sin verksamhet och nu tycks det som om gruppen lagt till nya attackmetoder.

I en ny rapport beskriver IT-säkerhetsföretaget Sophos hur BlackByte utnyttjat en sårbarhet i RTCorec6.sys, en drivrutin för grafikverktyg för Windows-system. Det ger dem möjlighet att kommunicera direkt med det aktuella systemet och beordra det att inaktivera återuppringningsrutiner som används av både EDR-leverantörer och ETW (Event Tracing for Windows).

– Om man tänker sig datorn som en fästning så är ETW för många EDR-leverantörer att likna vid vakten vid den främre porten. Om vakten sätts ur spel gör det resten av systemet väldigt sårbart. Och eftersom ETW används av så många olika leverantörer är BlackBytes möjligheter att på detta vis använda och kringgå EDR-lösningar mycket stora, kommenterar Per Söderqvist, säkerhetsexpert på Sophos.

Läs mer om BlackByte och de senaste angreppen här»

Om du bevakar säkerhetsfrågor och vill prata mer om BlackBytes angreppsmetoder är du välkommen att kontakta Per Söderqvist, säkerhetsexpert på Sophos, telefon 0761-75 00 64 eller e-post per.soderqvist@sophos.com.

Relaterade länkar

Ämnen

  • Data, Telekom, IT
  • Datorer, datateknik, programvaror
  • Webbtjänster
  • Datasäkerhet
  • Säkerhet

Kategorier

  • edr
  • drivrutiner
  • ransomware
  • sophos
  • blackbyte
  • it-säkerhet
  • per söderqvist
  • datasäkerhet

Kontakter

Relaterat innehåll

  • Cyberkriminella kvar allt längre i angripna nätverk

    En ny rapport visar att tiden som cyberkriminella lyckats hålla sig kvar i företags nätverk har ökat med 36 procent mellan år 2020 och 2021 när mediantiden gick från 11 dagar till 15 dagar. Ökningen bedöms till stor del bero på att man lyckats utnyttja sårbarheterna i ProxyLogon och ProxyShell som används vid angrepp mot Microsoft Exchange.

  • Två tredjedelar av företagen har sett utpressningsförsök

    Andelen företag som attackerats med ransomware (gisslanprogram) fortsätter att öka. I en ny global studie som genomförts av IT-säkerhetsföretaget Sophos uppger 66 procent av de medverkande företagen att de drabbats av utpressningsförsök under det senaste året (2021). Det är en kraftig ökning jämfört med 2020 då andelen utsatta företag var 37 procent.

  • IT-säkerhet 2023 handlar om att få ihop alla pusselbitar

    I många företag, särskilt större organisationer, finns det en i dag en brokig flora av tjänster och produkter som ska hantera IT-säkerheten. Det handlar om lösningar från olika leverantörer som dessutom tillkommit i olika skeden och införts för att möta hot som hela tiden förändras. Nu ökar intresset för IT-säkerhet där alla utspridda pusselbitar passar bättre med varandra.

Fyll i din epostadress för att följa Sophos på Mynewsdesk

När du väljer att skapa ett konto och följa ett nyhetsrum kommer dina personuppgifter behandlas av Mynewsdesk och av ägaren av nyhetsrummet för att du ska kunna motta nyheter och uppdateringar enligt dina bevakningsinställningar.

För att läsa mer om detta, var vänlig läs Mynewsdesks Integritetspolicy som berör vår behandling av dina personuppgifter, och Mynewsdesks Integritetspolicy för Contacts som berör behandlingen av dina personuppgifter från ägaren av nyhetsrummet du följer.

Vänligen notera att Mynewsdesks Användarvillkor gäller alla våra tjänster.

Du kan dra tillbaka ditt samtycke när som helst genom att avregistrera dig eller genom att ta bort ditt konto.
Kolla din inkorg

Mejl skickat till __email__. Klicka på länken i mejlet för att följa Sophos.

Okej