Антивирус-предатель: драйвер Avast стал ключом к полному контролю системы

Специалисты Trellix обнаружили новую кампанию, в которой используются доверенные компоненты антивирусных программ для взлома систем. Вместо попыток обойти защиту злоумышленники применяют легальный драйвер Avast Anti-Rootkit, чтобы отключать защитное ПО и получать контроль над компьютером.



Механизм атаки выглядит так: вредоносная программа сначала загружает драйвер Avast в систему под видом обычного файла. Затем через специальную команду регистрирует его как сервис, дающий доступ к ядру операционной системы. Это позволяет программе завершать процессы антивирусов и других систем защиты, обходя их стандартные механизмы безопасности.

Вредоносное ПО, названное AV Killer, загружает доверенный драйвер и анализирует активные процессы на устройстве, сверяя их с жёстко заданным списком из 142 целей, куда входят антивирусные решения компаний McAfee, Symantec, Sophos, Microsoft Defender, SentinelOne и других. Если процесс совпадает с одним из целевого списка, вредоносное ПО использует API DeviceIoControl для передачи команд драйверу и завершения процесса. Уровень доступа драйвера позволяет вредоносной программе завершать процессы на уровне ядра ОС.

После отключения защиты вредоносное ПО получает полный контроль над системой, что позволяет хакерам похищать данные, устанавливать вредоносные программы или достигать другие свои цели.

Эксперты объясняют, что BYOVD-атаки (Bring Your Own Vulnerable Driver) становятся все более популярными. В таких атаках используются уязвимости легальных драйверов, чтобы проникать в системы. Например, похожую атаку проводили хакеры Lazarus, когда использовали уязвимость в драйвере Windows AppLocker для получения доступа на уровне ядра и отключения средств безопасности, избежав обнаружения.

Для защиты от подобных угроз Trellix рекомендует специальные правила, которые помогают блокировать использование уязвимых драйверов. Правила основаны на уникальных характеристиках драйверов и предотвращают их запуск даже при наличии уязвимостей. Внедрение таких правил в антивирусные и EDR-системы помогает заранее выявить угрозу и остановить атаку. Эксперты призывают компании обновлять защитное ПО и добавлять новые механизмы для борьбы с продвинутыми угрозами, чтобы минимизировать риски подобных атак.

Несмотря на рекомендации использования EDR-систем, интересно отметить, что в августе группировка RansomHub начала использовать новый вредоносный софт, который отключает EDR-решения на устройствах для обхода механизмов безопасности и получения полного контроля над системой.

© SecurityLab

ElSwanko писал(а):

Механизм атаки выглядит так: вредоносная программа сначала загружает драйвер Avast в систему под видом обычного файла. Затем через специальную команду регистрирует его как сервис, дающий доступ к ядру операционной системы. Это позволяет программе завершать процессы антивирусов и других систем защиты, обходя их стандартные механизмы безопасности.

Насколько я помню при установке программ с драйверами выскакивает окно предупреждения, что будет установлен драйвер производитель которого подтвержден или не подтвержден. Срабатывает окно UAC итп.
Тихая установка драйвера возможна разве что на Win7 и то не факт.

никогда не сомневался в этом "антивирусе" . считаю что это муляж а не антивирус. не знаю может это просто у меня так получалось, но самых дремучих времен где бы я с ним не сталкивался везде какие-то проблемы связанные с его присутствием.

любой бесплатный антивирус это скам

аваст это вообще антивирусом сложно называть ))) кто использует его тот просто создает видимость антивируса

Комиссар Жюв писал(а):

abozoff писал(а): не вижу смайлика "sarcasm" ) с 10 винды начиная, встроенный защитник перекрывал аваст как бык овцу. такшта да, лучше убрать. верят в дефендер до первого шифратора

А шифратор - не вирус. Это легитимный скрипт, использующий легитимные, штатные средства, для легитмного действия - шифрования ваших файлов. В том его "стремительность и была". Помню стандартный сценарий у пользователей в 2013-2014гг. "Галя, у меня файл в письме не открывается, посмотришь?" - и как итог зашифрованные файлы на локальных пк, на файлообменнике и т.д. и т.п. .... Не было там злобного бинарника и обхода антивиря.

P.s. и да, антивирь помогает - но мозги отключать не стоит. Он может помочь обратить внимание на "сайт в списке подозрительных, файл распознан как троянец, файл меняет содержимое таких-то системных файлов". Или блокирнуть те бинарники, сигнатуры которых уже есть в его базах. Плюс эвристика. Но если пользователь - в своей ОС ни "бум-бум" не обязан ничего понимать - то антивирус ему не нужен, только мешать будет.

P.p.s. Лет -7-10 назад, использовал бесплатные разные антивирусы в течении года - Avast, Avira, Comodo, Panda(или TrendMicro непомню уже), Qiho и ещё какой-то нонэйм, и пробники Norton (Symantec), McAffee, Dr.Web, Kaspersky. Avast сломал мне ОС при попытке удалить его, но рапорты писал регулярно, Avira пропускала много. Comodo и Panda тормозили систему, особенно при сканировании. Пробники платных показали себя лучше, единственное McAffee - лучше ловит кряки и кейгены, чем трояны, Symantec удобно (на тот момент) было ставить в корпоративной среде (центральная консоль управления). А для дома Dr.Web и Кaspersky подошли лучше. Но! Клиенты с Dr.Web всё равно ломали себе ОС, т.к. если ставили комплекс - то зачастую блокировали системные процессы и процессы нужного им пиратского софта. Так что если хотите меньше жалоб от пользователей - оставляйте им Дефендер. А себе можно Касперыча или Доктора, ну или для ценителий "буржуйского" - Northon'a, имхо одианково эффективны полноценные платные версии %). И да - без антивиря, ваше железо работает шустрее - например при копировании данных с диска на диск ))) Ни к чему не призываю, кроме как к изучению своих инструментов и включению мозгов. Никто не будет бесплатно делать тебе хорошо то, что ты можешь сделать себе сам. ИМХО! Да и платно - с большими оговорками, а лучше по подписке.
Up: Eset NOD32 не тестировал, т.к. к нему сложилось негативное предубеждение ещё в 2008-2010гг (пропустил много дряни в организацию, лицензионный.. Но очень шустрый на тот момент). Но некоторым нравится, говорят - защищает. Может что и поменялось к 2024г ))
А вообще - юзайте Linux, и если очень надо - ClamAV ))) ну это так, доброе пожелание )))

Самый главный вирус сидит перед монитором и клацает по кнопкам.

messer20080 писал(а):

Самый главный вирус сидит перед монитором и клацает по кнопкам.

100%

Это было, есть и будет... По этому лучше использовать минимум функций, тогда и меньше проблем будет. А то современный антивирус превратился в комплекс программ для обслуживания системы..

Никогда не доверял Авасту любой продукт если у когото стоял всегда сносил так как тормоза мигом пропадали даже на самых слабых системах

"- Есть у нас грузин, по фамилии Горидзе. А зовут его ...Аваст" (с) Карцев-Ильченко

... вспомнилось вдруг.

DIMA882 писал(а):

никогда не сомневался в этом "антивирусе" . считаю что это муляж а не антивирус. не знаю может это просто у меня так получалось, но самых дремучих времен где бы я с ним не сталкивался везде какие-то проблемы связанные с его присутствием.

вы его путаете с 360

Добавлено спустя 41 секунду:

andreypplk писал(а):

Никогда не доверял Авасту любой продукт если у когото стоял всегда сносил так как тормоза мигом пропадали даже на самых слабых системах

Аваст - самый нетребовательный к ресурсам антивирус

Я вообще отказался от всех антивирусников и всё прекрасно работает , а если всё же слетит система , нет проблем её переустановить и дальше наслаждаться жизнью . Любое ПО несёт в себе какие нибудь закладки ...... .

barmen писал(а):

Срабатывает окно UAC итп. Тихая установка драйвера возможна разве что на Win7 и то не факт.

если его специально не отключить.
у меня вот отключено ручками - для установки не помню какого драйвера, который отказывался работать после установки.
да, проверку подписи отключить сложно.

Nevermore писал(а):

вы его путаете с 360

ничего я не путаю)) 360 знаю но сталкивался оч редко, я так понимаю он еще "лудше" аваста? буду иметь ввиду)

Пора переходить на антибиотики