Хакери знайшли спосіб відключати антивірус Avast за допомогою його драйвера
26 ноября 2024
Специалисты по кибербезопасности из компании Trellix обнаружили, что хакеры нашли новый способ отключения антивирусных программ в целевых системах через использование легитимного, но старого драйвера Avast. Злоумышленники эксплуатируют уязвимость, позволяющую драйверу завершать процессы на уровне ядра.
Источник изображения: Ed Hardie / Unsplash
Согласно информации, атака, использует метод «принеси свой уязвимый драйвер» (BYOVD). Атакующие применяют старую версию драйвера антируткита Avast для остановки работы различных продуктов безопасности. Вредоносное ПО, известное как AV Killer, устанавливает драйвер под именем ntfs.bin в стандартную папку пользователя Windows.
Цепочка атак. Источник изображения: Trellix
После установки драйвера вредоносная программа создаёт сервис aswArPot.sys, используя утилиту Service Control (sc.exe). После этого, сверяются активные процессы системы с заранее заготовленным списком из 142 процессов, связанных с антивирусными приложениями. «Когда вирус находит совпадение, он самостоятельно создаёт идентификатор для взаимодействия с установленным драйвером Avast», — поясняет исследователь Тришан Калра (Trishaan Kalra) из компании Trellix.
Список процессов. Источник изображения: Trellix
Далее с помощью программного интерфейса API DeviceIoControl, вредоносное ПО отправляет команды IOCTL, необходимые для завершения работы целевых процессов. Среди целей атаки называются антивирусы от таких ведущих компаний, как McAfee, Symantec, Sophos и других. При этом способ отключения позволяет хакерам проводить вредоносные действия без оповещения пользователя или блокировки со стороны систем безопасности.
Список процессов. Источник изображения: Trellix
Стоит отметить, что сам по себе метод относительно архаичен. Аналогичные случаи были зафиксированы в начале 2022 года при анализе атак с использованием вымогателя AvosLocker.
В ответ на обнаруженные уязвимости Avast выпустила обновления безопасности своего драйвера, а Microsoft для защиты от подобных атак предлагает использовать политику блокировки уязвимых драйверов, активно обновляемую с каждым крупным релизом Windows.
Хочешь узнать больше - читай отзывы
← Вернуться на предыдущую страницу
Читайте также:
Якісний лінолеум – краще рішення для бюджетного ремонту! 18 апреля 2025
Побутовий лінолеум має кілька суттєвих переваг, які роблять його популярним вибором для житлових приміщень
Розкладні кутові дивани: плюси, мінуси та найкращі моделі 10 апреля 2025
Розкладні кутові дивани стали невід’ємною частиною сучасних інтер’єрів, поєднуючи функціональність і стильний дизайн. Їхня популярність зумовлена здатністю ефективно використовувати простір
Франція визнала допомогу Україні своїм пріоритетом 8 апреля 2025
Країна переорієнтовує свої стратегічні орієнтири на розвиток міжнародного партнерства, яке відповідає її цінностям, та допомогу тим, хто найбільше її потребує.
0.1
5.0