RansomHub fidye yazılım grubu, EDR'ları devre dışı bırakmak için Kaspersky TDSSKiller'ı kötüye kullanıyor

Son zamanlarda önce çıkan fidye yazılım gruplarından biri olan RansomHub, hedef sistemlere eriştikten sonra uç nokta algılama ve yanıt (EDR) hizmetlerini devre dışı bırakmak için Kaspersky’ın kullanıcılara ücretsiz olarak sunduğu meşru bir araç olan TDSSKiller’ı kullandığı ilk defa keşdefildi.

Popüler antivirüs üreticilerinden biri olan Kaspersky, tespit edilmesi özellikle zor olan ve standart güvenlik araçlarından kaçabilen iki tür kötü amaçlı yazılım olan Rootkit ve Bootkit’lerin sistemlerdeki varlıklarını tarayabilmesi için TDSSKiller’ı geliştirip, kullanıcılara ücretsiz olarak sunuyor. Siber güvenlik şirketi MalwareBytes’ın güvenlik araştırmacıları, yakın bir zamanda RansomHub’a ait bir fidye yazılım varyantını Malwarebytes yüklü bir makinada test etmişler.

Araştırmacılar, Malwarebytes Anti-Malware Service’i (MBAMService) devre dışı bırakan bir komut satırı betiği veya toplu iş dosyası kullanarak çekirdek düzeyindeki hizmetlerle etkileşime girmek için TDSSKiller’ı kötüye kullanıldığını gözlemlemişler. Geçerli bir sertifika ile imzalanmış olduğundan dolayı TDSSKiller, güvenlik çözümleri tarafından işaretlenme veya durdurulma riskini de taşımıyor.

MalwareBytes araştırmacıları, RansomHub’ın EDR’ı devre dışı bıraktıktan sonra erişilen makinalarda depolanan oturum bilgilerini çalmak içinde kimlik bilgisi toplama aracı olan LaZagne’yi dağıttığını gözlemlemişler.

EDR ürünlerini devre dışı bırakmak için TDSSKiller’ı kullanan ilk fidye yazılım grubu RansomHub olmadı. Sangfor tarafından 14 Temmuz 2023’de yayınlanan bir raporda, kendi EDR ürünlerini kullanan bir müşterisi LockBit’in hedefi olmuş ve yapılan analizlerde EDR’ı devre dışı bırakmak için Kaspersky’a ait TDSSKiller kullanılmış.