Исследование Sophos: EDR-killer стал ключевым звеном в атаках вымогателей

В современных многоэтапных атаках отключение систем безопасности стало критически важным шагом для злоумышленников. С 2022 года отмечается рост сложности вредоносных инструментов, целенаправленно выводящих из строя EDR-решения. Часть таких разработок создается самими ransomware-группами, другие приобретаются на теневых форумах - этому найдены подтверждения в утекших чатах группировки Black Basta. Для сокрытия кода часто применяются сервисы упаковки, такие как HeartCrypt.

Технический разбор AVKiller

В ходе исследования тысяч образцов, упакованных HeartCrypt, обнаружен специализированный инструмент AVKiller. Его активность фиксировалась во время атак вымогателей, а первые следы относятся к январю 2024 года (Palo Alto Networks). Инструмент маскируется под легитимное ПО - например, в одном случае злоумышленники внедрили вредоносный код в утилиту Clipboard Compare программы Beyond Compare от Scooter Software.

Ключевые особенности AVKiller:

• Многослойная обфускация кода.
• Использование драйвера со случайным пятибуквенным именем (например, mraml.sys).
• Применение скомпрометированных сертификатов для подписи драйверов.
• Целенаправленное воздействие на продукты конкретных вендоров.

Драйверы подписывались сертификатами Changsha Hengxiang Information Technology Co., Ltd. (отозван в 2016 г.) и Fuzhou Dingxin Trade Co., Ltd. (просрочен с 2012 г.). Подобные сертификаты ранее связывались с ransomware-атаками в публикациях независимых исследователей, таких как @threatintel.

Механизм работы:

После запуска AVKiller ищет драйвер с заданным именем. При успехе он загружает его и завершает процессы целевых систем безопасности. Если драйвер отсутствует, создается сервис с именем, производным от имени драйвера. В исследованных образцах инструмент атаковал продукты Bitdefender, Kaspersky, Sophos, SentinelOne, Microsoft Defender и других вендоров.

Связь с ransomware-группами

AVKiller является неотъемлемой частью цепочки атак вымогателей. В типичном сценарии упакованный HeartCrypt дроппер развертывает EDR-killer, который загружает подписанный драйвер для отключения защиты. Следом запускается шифровальщик.

Sophos X-Ops зафиксировала использование одного и того же инструмента (в разных сборках) восемью конкурирующими группами:

• RansomHub (атака в январе 2025 с использованием файла FoPefI.exe).
• Blacksuit, Medusa, Qilin, DragonForce, Crytox, Lynx и INC.

Примечательные случаи:

1. MedusaLocker (январь 2025): Атака началась с эксплуатации zero-day уязвимости в удаленном доступе SimpleHelp, что соответствует данным Horizon3.ai. После выполнения EDR-killer (цели: ESET, Sophos, Kaspersky) был запущен шифровальщик MilanoSoftware.exe.
2. INC (июнь 2025): Обнаружена усложненная версия с двойной упаковкой - классический HeartCrypt скрыт под слоем обфускатора, описанного Sophos на конференции Virus Bulletin. Использовался драйвер noedt.sys, ранее замеченный в атаках INC.

Координация между группировками

Наиболее тревожный аспект - свидетельства обмена инструментами и знаниями между конкурентами. RansomHub (создатели устаревшего EDRKillShifter), Qilin, DragonForce и INC используют разные сборки одного базового EDR-killer, упакованные через коммерческий сервис HeartCrypt. Это указывает на скоординированное использование инфраструктуры или каналы обмена в теневых сообществах.

"Мы наблюдаем не просто утечку одного бинарного файла, а распространение модифицированных версий проприетарного инструмента через packer-as-a-service, - отмечают исследователи Sophos. - Это демонстрирует эволюцию сотрудничества между группами, даже когда они конкурируют за прибыль".

Рекомендации для защиты

Эксперты рекомендуют:

1. Контролировать установку драйверов, особенно с случайными именами.
2. Мониторить сертификаты подписи (отозванные/просроченные).
3. Блокировать исполнение из временных каталогов (C:\temp, C:\ProgramData).
4. Использовать поведенческий анализ для выявления попыток остановки EDR-сервисов.

Вывод: Распространение специализированных EDR-killer через подпольные сервисы снижает барьер для атакующих. Координация между группировками в обходе защит требует усиления проактивных мер и обмена индикаторами между security-сообществом.