Terminator / BYOVD
Инструмент Terminator является частью класса атак, известного как «Принеси собственный уязвимый драйвер» (BYOVD). Эта стратегия предполагает использование легитимных, но уязвимых драйверов для обхода мер безопасности, прерывания процессов защиты от вирусов и EDR и выполнения вредоносных действий без обнаружения.
Особенности угрозы эксплуатации инструмента
Инструмент Terminator представляет собой серьезную угрозу из-за своей способности отключать защитные решения, тем самым способствуя целому ряду вредоносных действий. Эти действия могут варьироваться от развертывания дополнительных вредоносных программ до масштабной компрометации системы и сбоев в работе.
Техническая сложность и проблемы с оценкой рисков
Оценить риск, связанный с инструментарием Terminator, сложно по ряду причин. К ним относятся эволюционирующий характер инструмента, разнообразие и масштаб применения, а также диапазон потенциальных целей. Точный процент успеха Terminator в компрометации организаций трудно оценить количественно. Однако его техническая сложность в сочетании с растущей популярностью методов BYOVD среди участников угроз свидетельствует о растущей угрозе
Кибератака с использованием Terminator может иметь серьезные последствия для организации. С точки зрения операционной деятельности, финансовые последствия могут включать значительные расходы на реагирование на инциденты, восстановление системы, судебные издержки и возможные штрафы за нарушение нормативных требований. Более того, репутационный ущерб от успешного взлома может привести к потере доверия клиентов, истощению ресурсов и невыгодному положению в конкурентной борьбе, особенно в случае утечки конфиденциальных данных или их фальсификации
Эволюция и варианты Terminator
С момента своего первоначального выпуска было разработано множество вариантов инструмента Terminator, включая версии с открытым исходным кодом и написанные на разных языках программирования, таких как C# (SharpTerminator) и Nim (Ternimator). Эти варианты нацелены на воспроизведение оригинальной технологии или предлагают кроссплатформенную поддержку, что потенциально позволяет обойти статические средства обнаружения или эвристические модели.
Атаки и их последствия
Использование инструмента Terminator и его разновидностей известно, например заметная атака на организацию здравоохранения 15 декабря 2023 года. В ходе этой атаки злоумышленники попытались выполнить команду PowerShell для загрузки текстового файла с сервера C2, который был предназначен для установки XMRig cryptominer в целевой системе.
Распространенные методы, используемые злоумышленниками для злоупотребления инструментом Terminator:
1. Использование легитимных, но уязвимых драйверов
Злоумышленники внедряют легитимный драйвер, который является уязвимым, в целевую систему, а затем используют уязвимый драйвер для выполнения вредоносных действий. Это основной принцип атак BYOVD, при которых инструмент Terminator использует уязвимости в таких драйверах, как zam64.sys (Zemana Anti-Logger) или zamguard64.sys (Zemana Anti-Malware), чтобы получить привилегии ядра и выполнить предоставленный злоумышленником код в контексте ядра
2. Повышение привилегий на уровне ядра
Успешная эксплуатация позволяет злоумышленникам добиться повышения привилегий на уровне ядра, предоставляя им наивысший уровень доступа и контроля над системными ресурсами. Эти повышенные привилегии используются путем отключения программного обеспечения endpoint security или уклонения от его обнаружения, что позволяет злоумышленникам беспрепятственно выполнять вредоносные действия
3. Отключение защитных решений
Как только защита endpoint security взломана, злоумышленники могут отключить антивирус и процессы обнаружения и реагирования на конечные точки (EDR), развернуть дополнительное вредоносное ПО или выполнить другие вредоносные действия без обнаружения. Инструмент Terminator специально нацелен на процессы, связанные с решениями для обеспечения безопасности, и завершает их, эффективно скрывая их от текущих атак
4. Использование IOCTL-кодов
Инструмент Terminator и его варианты используют коды IOCTL (управление вводом/выводом) для запроса функциональных возможностей у уязвимого драйвера, таких как попытка завершить целевые процессы. Это включает в себя отправку определенных IOCTL-кодов вместе с параметрами, такими как идентификатор запущенного процесса, чтобы манипулировать поведением драйвера в интересах злоумышленника
5. Административные привилегии и обход контроля учетных записей
Чтобы эффективно использовать драйвер, злоумышленнику потребуются административные привилегии и возможность обхода контроля учетных записей пользователей (UAC), или же ему потребуется убедить пользователя принять запрос UAC. Это требование подчеркивает важность тактики повышения привилегий и социальной инженерии для успешного развертывания средства Terminator
6. Предотвращение обнаружения
Злоумышленники разработали свои методы, позволяющие избежать обнаружения с помощью средств защиты. Например, инструмент Terminator пытается эмулировать легитимные заголовки протоколов/файлов, чтобы обойти меры безопасности, хотя это и не увенчалось успехом. Использование легитимных протоколов и служб в качестве серверов управления и контроля (C& C) или каналов связи является еще одной тактикой для сокрытия своих следов
7. Использование общедоступных платформ и протоколов
Злоумышленники также используют общедоступные платформы и протоколы, такие как мессенджеры (IMs) и бесплатные почтовые сервисы, для взаимодействия со взломанными системами и поддержания контроля над своими целями. Этот метод помогает сочетать вредоносный трафик с законной сетевой активностью, что усложняет обнаружение
Vkontakte
Twitter
Одноклассники
Предыдущий
