Hackerii folosesc un driver semnat de Microsoft pentru a dezactiva instrumente de securitate și a fura parole

A fost descoperit un nou atac cibernetic sofisticat, în care hackerii utilizează un driver legitim semnat de Microsoft pentru a dezactiva o gamă largă de software de securitate pe sistemele compromise. Această utilizare malițioasă a unui driver de încredere permite atacatorilor să ocolească apărările și să opereze nedetectați, reprezentând o amenințare semnificativă pentru organizații. Scopul principal pare a fi furtul de credențiale sensibile ale utilizatorilor, care pot fi apoi folosite pentru activități malițioase suplimentare sau vândute pe dark web.

Atacul vizează și dezactivează specific aproximativ 145 de instrumente de securitate diferite, inclusiv programe antivirus, soluții de detecție și răspuns la nivel de endpoint (EDR) și alte software-uri de protecție. Prin utilizarea unui driver care este semnat digital de Microsoft, atacatorii pot păcăli sistemul de operare să îi acorde privilegii ridicate, neutralizând efectiv măsurile de securitate înainte de a continua cu colectarea credențialelor. Această metodă subliniază o tendință îngrijorătoare de exploatare a componentelor software de încredere în scopuri nefaste.

Acest incident subliniază importanța critică a securității lanțului de aprovizionare și necesitatea monitorizării continue a integrității driverelor. Abilitatea atacatorilor de a utiliza abuziv drivere semnate prezintă o provocare majoră pentru profesioniștii în securitate cibernetică. Eforturile viitoare se vor concentra probabil pe verificarea îmbunătățită a driverelor, verificări de integritate în timpul execuției și mecanisme de detecție mai robuste pentru a contracara astfel de amenințări avansate.