Загрузка в безопасном режиме - это техника уклонения от защиты, с помощью которой злоумышленники перезагружают систему в безопасный режим, чтобы отключить средства защиты и выполнить вредоносные действия без помех.
Безопасный режим - это диагностический режим запуска в Windows, который загружает только основные системные службы и драйверы, часто отключая сторонние программы безопасности, такие как антивирусы, средства обнаружения и реагирования на конечные точки (EDR) и инструменты мониторинга. Используя безопасный режим, злоумышленники могут обойти средства защиты, которые обычно обнаруживают и предотвращают их действия в полностью рабочей среде.
Что такое загрузка в безопасном режиме?
Загрузка в безопасном режиме - это диагностический режим запуска в операционных системах, включая Windows, macOS и некоторые дистрибутивы Linux. Когда компьютер загружается в безопасном режиме, загружаются только основные системные файлы и драйверы, необходимые для базовой функциональности. Он предназначен для устранения неполадок и решения проблем с операционной системой путем загрузки минимального набора драйверов и служб, тем самым изолируя систему от потенциальных проблемных элементов.
Безопасный режим особенно полезен, когда в системе возникают такие проблемы, как частые сбои, зависания или отказы при запуске. Он позволяет пользователям получить доступ к операционной системе в упрощенном состоянии, что облегчает поиск источника проблемы. Войдя в безопасный режим, пользователь может удалить недавно установленное программное обеспечение, обновить или откатить драйверы и выполнить другие действия по устранению неполадок.
Использование злоумышленниками загрузки в безопасном режиме
Хотя загрузка в безопасном режиме предназначена для диагностики и устранения неполадок в операционной системе, злоумышленники изобретательно используют эту функцию для обхода обнаружения, манипулирования конфигурацией системы и облегчения своей вредоносной деятельности. Злоумышленники часто используют загрузку в безопасном режиме для обхода мер безопасности, предусмотренных операционной системой. Загружая систему в безопасном режиме, они обеспечивают загрузку только минимального набора драйверов и основных служб, создавая среду, в которой многие средства контроля безопасности не запускаются. Этот метод особенно удобен для злоумышленников, стремящихся проникнуть в систему, не вызывая тревоги и не сталкиваясь с активными средствами защиты.
Злоумышленники используют метод загрузки в безопасном режиме, чтобы подменить защитное ПО и обойти обнаружение антивирусными программами. В безопасном режиме многие приложения и службы безопасности, необходимые для обнаружения угроз в режиме реального времени, могут оставаться неактивными. Таким образом, у злоумышленников появляется возможность выполнить вредоносный код или развернуть вредоносное ПО без немедленного вмешательства со стороны решений безопасности. Используя такое снижение уровня безопасности, противники повышают свои шансы остаться незамеченными на начальных этапах атаки.
Техника загрузки в безопасном режиме также служит для злоумышленников эффективным средством манипулирования конфигурацией системы и отключения функций безопасности. В безопасном режиме некоторые элементы запуска и драйверы сторонних разработчиков намеренно исключаются, что позволяет злоумышленникам изменять настройки системы в контролируемой среде. Эти манипуляции могут включать отключение брандмауэров, антивирусных программ и других мер безопасности, которые могут помешать их действиям, что позволяет злоумышленникам закрепиться в взломанной системе и заложить основу для последующих вредоносных действий.
В марте 2024 года сообщалось, что программа RA World ransomware включает безопасный режим с использованием сети, создавая службу, которая добавляет ключи реестра для безопасного режима.
| 1 2 | sc create <service_name> binpath= <path_to_executable> start= auto displayname= <service_display_name> reg add "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\<service_name>" /t REG_SZ /d Service /f |
Кроме того, злоумышленники настраивают данные конфигурации загрузки (Boot Configuration Data, BCD), чтобы включить безопасный режим с сетевыми подключениями и перезагрузить взломанную систему.
| 1 2 | bcdedit /set {default} safeboot Network shutdown -r -f -t 00 |