Les attaquants emploient des « EDR killers » pour désactiver les antivirus et EDR, facilitant les intrusions invisibles. Le groupe RansomHub utilise ce stratagème via un modèle RaaS pour cibler les entreprises.
Dans le paysage de la cybersécurité, les attaquants développent aujourd’hui des outils spécialisés pour contourner les protections comme les antivirus et les EDR (Endpoint Detection and Response).
Ces « EDR killers » sont conçus pour désactiver ces solutions, empêchant ainsi la détection des activités malveillantes. Ces outils, tels que EDRKillShifter et d’autres, exploitent les failles des systèmes de sécurité en manipulant des services critiques ou en modifiant des processus afin de rendre l’intrusion invisible.
Cette évolution dans les méthodes d’attaque est une menace sérieuse pour les entreprises, car elle expose les réseaux à des attaques prolongées sans alerte préalable. Cette tendance reflète un effort des cybercriminels pour élever leur niveau de sophistication, en ciblant spécifiquement les couches de défense avant de déployer des logiciels malveillants plus destructeurs.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
RansomHub : un acteur majeur
RansomHub est un exemple marquant de cette approche, opérant comme un service de ransomware-as-a-service (RaaS) qui a acquis une grande notoriété en 2024. RansomHub propose ses services à d’autres cybercriminels via un modèle d’abonnement, ce qui étend la portée et l’impact de leurs opérations.
Le groupe cible principalement des entreprises en Amérique du Nord et en Europe, utilisant une combinaison de techniques pour obtenir des accès non autorisés via des failles de sécurité comme des connexions RDP mal sécurisées, des VPN vulnérables, ou du phishing.
RansomHub se distingue par sa capacité à déployer des outils de désactivation des EDR et antivirus avant de lancer ses attaques de ransomware. Cela leur permet de prendre le contrôle des systèmes avec peu de chances d’être détectés par les solutions de sécurité traditionnelles.
Techniques d’attaque utilisées
Le groupe RansomHub s’appuie largement sur des techniques telles que le Bring Your Own Vulnerable Driver (BYOVD). Cette méthode consiste à introduire un pilote légitime mais vulnérable, qui est ensuite exploité pour obtenir des privilèges élevés sur la machine cible.
Ce pilote, bien que signé numériquement, présente des faiblesses que les attaquants utilisent pour désactiver les solutions de sécurité comme les EDR. Une fois les protections neutralisées, les attaquants peuvent déployer des ransomwares ou d’autres malwares avec peu de risques d’être détectés.
Un autre outil utilisé par RansomHub est AuKill, qui est conçu pour interagir avec les pilotes vulnérables et aider à désactiver les protections système. Cette technique est particulièrement redoutable car elle utilise des pilotes qui sont normalement considérés comme sûrs par les systèmes de sécurité, exploitant ainsi les failles internes du système.
Méthodes de mitigation
Pour contrer ces techniques sophistiquées, les organisations doivent adopter des stratégies de surveillance avancées. Une solution consiste à analyser en temps réel les comportements suspects, comme l’écriture de pilotes dans des répertoires temporaires ou des tentatives de désactivation des services critiques.
Une surveillance rigoureuse des modifications de processus et des privilèges utilisateurs peut également fournir des indices sur l’utilisation de techniques BYOVD.
En cas de détection de telles activités, il est impératif d’isoler immédiatement les systèmes compromis pour éviter toute propagation du malware. Une réponse rapide est essentielle pour limiter les dégâts.
En parallèle, des mesures préventives telles que la mise à jour régulière des pilotes et l’implémentation de solutions de sécurité capables de détecter les manipulations de pilotes sont nécessaires pour réduire les risques.
Présentation d’Intel471
Intel471 est une entreprise spécialisée dans la collecte de renseignements sur les cybermenaces, offrant des insights détaillés sur les tactiques, techniques et procédures (TTP) utilisées par les groupes cybercriminels.
La société suit de près des groupes comme RansomHub, fournissant des informations exploitables aux entreprises pour anticiper et contrer les attaques. Les solutions d’Intel471 sont conçues pour aider les entreprises à mieux comprendre l’environnement des menaces, en se concentrant sur la détection précoce des comportements malveillants et en permettant une défense proactive contre les attaques complexes.
Leur approche basée sur le renseignement cybercriminel permet aux organisations de rester au fait des menaces émergentes et de renforcer leurs défenses.
Pour en savoir plus
Hunting for RansomHub and antivirus killers
Threat actors always seek new techniques and tools that make it easier to infiltrate an environment, persist, and perform malicious activity. One of the obstacles…
(Re)découvrez également:
Serveurs, API, temps de veille...
DCOD est indépendant et sans revenus. Soutenez le site pour l'aider à couvrir ses frais techniques.
