Een nieuwe cyberaanval zet een stuurprogramma genaamd ABYSSWORKER in om securitysoftware uit te schakelen. Het stuurprogramma maakt deel uit van een financieel-gedreven campagne waarbij MEDUSA ransomware wordt verspreid.
Dat ontdekten securityonderzoekers van Search AI-bedrijf Elastic. Door gebruik te maken van een ondertekend certificaat weet de malware beveiligingssystemen te omzeilen. Criminelen gebruiken vaker eigen stuurprogramma’s om beveiligingssystemen buitenspel te zetten. In het geval van ABYSSWORKER wordt een ingetrokken, certificaat-ondertekend stuurprogramma van een Chinese leverancier gebruikt.
Hoe ABYSSWORKER te werk gaat
De kracht van ABYSSWORKER schuilt in de manier waarop het beveiligingssystemen misleidt. Omdat het stuurprogramma een officiële ondertekening heeft, wordt het door veel beveiligingssystemen als betrouwbaar beschouwd. Hierdoor passeert het zonder verificatie de verdedigingslinies van het systeem.
Eenmaal geïnstalleerd op het systeem van het slachtoffer, gebruikt ABYSSWORKER zijn privileges om verschillende EDR-leveranciers (Endpoint Detection and Response) aan te vallen en uit te schakelen. Dit creëert een opening voor de MEDUSA ransomware om ongezien het systeem binnen te dringen.
Geen nieuw concept, wel nieuwe toepassing
Hoewel de methode niet helemaal nieuw is, laat de huidige toepassing een zorgwekkende evolutie zien. Het ‘EDR-killer’ stuurprogramma werd voor het eerst gerapporteerd door Mandiant in 2022 in een andere campagne. Toen werd echter een ander certificaat en andere IO-controlecodes gebruikt.
Volgens de telemetrie van Elastic is ABYSSWORKER specifiek ingezet in gerichte ransomware-operaties. De geavanceerde aard van deze aanvallen wijst op betrokkenheid van goed georganiseerde en goed toegeruste dreigingsactoren. De modulaire opbouw van de malware, het gebruik van meerdere lagen verduistering en de focus op het ontwijken van beveiligingsmechanismen illustreren de toenemende complexiteit van moderne ransomware-ecosystemen.
Tip: Politie introduceert online aangifte voor bedrijven bij ransomware