Главная страница » Индикаторы компрометации
0
2 года
Индикаторы компрометации

Крупномасштабная атака через уязвимый драйвер Truesight.sys: как хакеры обходят защиту EDR/AV

Крупномасштабная атака через уязвимый драйвер Truesight.sys: как хакеры обходят защиту EDR/AV

Check Point Research раскрыла детали масштабной киберкампании, в которой злоумышленники эксплуатируют уязвимый драйвер Truesight.sys для обхода систем обнаружения и реагирования на угрозы (EDR/AV). Атака направлена на развертывание модуля-убийцы, способного нейтрализовать защитные решения, что делает ее особенно опасной для корпоративных и частных пользователей.

Описание

Драйвер Truesight.sys изначально разрабатывался для антируткит-утилиты RogueKiller от компании Adlice. Однако исследователи обнаружили, что хакеры активно используют его устаревшую версию 2.0.2, которая содержит критические уязвимости. В отличие от более новых версий (3.4.0 и выше), этот драйвер не включен в блок-листы Microsoft, что позволяет злоумышленникам беспрепятственно его применять.

Для усложнения обнаружения атакующие создали свыше 2500 модифицированных вариантов драйвера, каждый из которых обладает валидной цифровой подписью. Это позволяет вредоносному коду выглядеть легитимным в глазах систем безопасности. Кроме того, хакеры используют китайские облачные серверы для управления командными центрами (C2), что затрудняет их отслеживание и блокировку.

Основной вектор атаки - фишинг. Злоумышленники распространяют вредоносные файлы, маскирующиеся под популярные приложения, через поддельные веб-сайты и сообщения в мессенджерах. Эти файлы действуют как загрузчики, подготавливая систему к внедрению вредоносной полезной нагрузки, включая Gh0st RAT - известный троян для удаленного доступа, часто используемый в целевых атаках.

Check Point Research уже уведомила Microsoft о проблеме, что привело к обновлению политики блокировки уязвимых драйверов. Теперь система безопасности Windows автоматически блокирует загрузку устаревших версий Truesight.sys, что снижает риски для пользователей. Однако исследователи подчеркивают, что подобные атаки демонстрируют, насколько изощренными становятся методы киберпреступников.

Эта кампания - очередное напоминание о важности своевременного обновления программного обеспечения и использования комплексных решений безопасности. Устаревшие драйверы и приложения остаются легкой мишенью для хакеров, а их эксплуатация может привести к серьезным последствиям, включая утечку данных и полный компрометац системы.

Check Point Research продолжает мониторинг подобных угроз, разрабатывая новые методы противодействия. Пользователям же рекомендуется проявлять бдительность: избегать подозрительных ссылок, регулярно обновлять ПО и использовать надежные антивирусные решения. Только комплексный подход к безопасности поможет минимизировать риски в условиях растущей киберугрозы.

Индикаторы компрометации

Сдаётся рекламное место
Комментарии: 0
Похожие записи
0
16.04.2025
Индикаторы компрометации

Возобновление фишинговой кампании APT29 против европейских дипломатов

Возобновление фишинговой кампании APT29 против европейских дипломатов
Исследователи Check Point Research (CPR) расследуют фишинговую кампанию APT29, которая нацелена на дипломатические учреждения по всей Европе.