Ransomware RobbinHood deaktivuje bezpečnostní software a pak se spustí

Hrozby ransomwaru se stále vyvíjejí - útočníci nyní využívají legitimní zranitelnost třetí strany ke smazání bezpečnostních produktů, než spustí ransomware. Napadení tak hrozí i plně aktualizovaným počítačům. Bezpečnostní strategie proto musí zahrnovat různé úrovně, aby zachytily a reagovaly každou fázi útoku.

Ransomware RobbinHood využívá zranitelný i škodlivý ovladač, jehož jediným cílem je vyřadit z činnosti ochranu počítače. Škodlivý ovladač neobsahuje nic jiného než útočný kód. Takže i když je plně aktualizovaný počítač s Windows, bez známých zranitelností, ransomware jednu takovou útočníkům poskytne pro likvidaci vaší ochrany ještě před tím, než začne samotný útok ransomwaru.

Sophos analýza těchto útoků ukazuje, jak rychle a nebezpečně se tato hrozba dále vyvíjí. Poprvé se setkáváme s tím, že ransomware přináší svůj legitimně podepsaný, i když zranitelný, ovladač od třetí stany, který převezme kontrolu nad zařízením a využije jej k deaktivaci instalovaného bezpečnostního softwaru.

Přitom obchází funkce speciálně určené k zabránění v takové manipulaci. Zlikvidování ochrany otevírá malwaru cestu k nerušené instalaci a spuštění ransomwaru.

Jak se chránit před ransomware typu RobbinHood

Dnešní ransomwarové útoky používají více technik a taktik. Proto musí obránci nasadit řadu technologií, aby narušili co nejvíce stádií útoku, integrovat veřejný cloud do své bezpečnostní strategie a povolit důležité funkce, včetně ochrany proti neoprávněné manipulaci v bezpečnostním softwaru svých koncových bodů.

Pokud je to možné, doplňte i funkci threat intelligence a profesionální threat hunting.

Dalším krokem je nasazení silných bezpečnostních opatření, jako jsou vícefaktorová autentikace, složitá hesla, omezená přístupová oprávnění, pravidelná instalace záplat a zálohování dat.

Zablokujte také zranitelné služby vzdáleného přístupu. A v neposlední řadě investujte a pokračujte v investicích do bezpečnostních školení pro zaměstnance.

Článek Sophos ze dne pátek 14. února 2020

Další články od Sophos