Is this you? As a journalist, you can create a free Muck Rack account to customize your profile, list your contact preferences, and upload a portfolio of your best work.
Claim your profile
Articles by Andreas Klopsch
Attack tool update impairs Windows computers
In 2022 and 2023, Sophos X-Ops published research about a toolset to sabotage the functions of endpoint protection software that was being developed and used in conjunction with several major ransomware gangs. Mandiant had previously named this tool Poortry, and its loader application Stonestop. The creators of the Poortry tool had managed to get purpose-built, custom kernel-level drivers signed through Microsoft’s attestation signing process.
Ransomware attackers introduce new EDR killer to their arsenal
Sophos analysts recently encountered a new EDR-killing utility being deployed by a criminal group who were trying to attack an organization with ransomware called RansomHub. While the ransomware attack ultimately was unsuccessful, the postmortem analysis of the attack revealed the existence of a new tool designed to terminate endpoint protection software. We are calling this tool EDRKillShifter.
Humo y espejos (de pantalla): una extraña puerta trasera firmada
En diciembre de 2023, Sophos X-Ops recibió un informe sobre la detección de un falso positivo en un ejecutable firmado por un certificado válido de Microsoft Hardware Publisher. Sin embargo, la información sobre la versión del archivo supuestamente limpio parecía un poco sospechosa. Los metadatos del archivo indican que se trata de un “Catalog Authentication Client Service” de “Catalog Thales”, posiblemente un intento de hacerse pasar por la empresa legítima Thales Group.
Smoke and (screen) mirrors: una strana backdoor firmata
Nel dicembre 2023, Sophos X-Ops ha ricevuto una segnalazione riguardante il rilevamento di un falso positivo su un eseguibile firmato da un certificato Microsoft Hardware Publisher valido. Tuttavia, le informazioni sulla versione del file, apparentemente pulito, sembravano un po’ sospette. I metadati del file suggeriscono che si tratti di un “Catalog Authentication Client Service” di “Catalog Thales”, forse un tentativo di impersonare la legittima società Thales Group.
巧妙なトリック：署名付きの奇異なバックドア
** 本記事は、Smoke and (screen) mirrors: A strange signed backdoor の翻訳です。最新の情報は英語記事をご覧ください。** 2023 年 12 月、Sophos X-Ops は、有効な Microsoft ハードウェア発行元の証明書で署名された実行ファイルが誤検出されているとの報告を受けました。しかし、この問題がないはずのファイルのバージョン情報に不審な点がありました。 図 1：検出されたファイルのバージョン情報。「Copyrigth」と「rigths」の誤字が存在している。 このファイルのメタデータは、「Catalog Thales」が提供する「Catalog Authentication Client Service」であることを示しており、フランスの大手電機企業「タレス・グループ」へのなりすましの可能性が浮かび上がりました。ソフォスの社内データと VirusTotal のレポートの両方を調べた結果、このファイルは以前、「LaiXi Android Screen...
Smoke and (screen) mirrors: A strange signed backdoor
In December 2023, Sophos X-Ops received a report of a false positive detection on an executable signed by a valid Microsoft Hardware Publisher Certificate. However, the version info for the supposedly clean file looked a little suspicious. Figure 1: Version info of the detected file. Note the typos ‘Copyrigth’ and ‘rigths’ The file’s metadata indicates that it is a “Catalog Authentication Client Service” by “Catalog Thales ” – possibly an attempt to impersonate the legitimate company Thales Group.
Gli aggressori abusano ancora del tool Terminator e delle sue varianti
BYOVD (Bring Your Own Vulnerable Driver) è un tipo di attacco che vede gli aggressori rilasciare driver vulnerabili noti su un computer compromesso e poi sfruttare i bug per ottenere privilegi a livello di kernel. A questo livello di accesso, gli attaccanti possono ottenere molti risultati: nascondere malware, scaricare credenziali e, soprattutto, tentare di disabilitare le soluzioni EDR.
攻撃者に利用され続けるセキュリティ無効化ツール「Terminator」
** 本記事は、It’ll be back: Attackers still abusing Terminator tool and variants の翻訳です。最新の情報は英語記事をご覧ください。** BYOVD （脆弱なドライバーの持ち込み） とは、侵害されたマシンに攻撃者が既知の脆弱なドライバーをインストールし、その脆弱性を悪用してカーネルレベルの特権を獲得する攻撃の一種です。カーネルレベルのアクセス権を得た攻撃者は、マルウェアを隠したり、認証情報をダンプしたり、さらには EDR ソリューションの無効化を試みたりと、多くの攻撃を実行できます。 本記事執筆時点で、脆弱なドライバーと対応するシグネチャおよびハッシュのオープンソースリポジトリである loldrivers.io のリストでは、364 件のエントリが「脆弱なドライバー」とタグ付けされています。そのためか、以前は高度な攻撃者にしか扱えなかった BYOVD 攻撃が、近年ランサムウェアのオペレーターや技術力の低い攻撃者にも用いられるようになってきました。 たとえば、2020 年 2 月にソフォスは RobbinHood...
It’ll be back: Attackers still abusing Terminator tool and variants
BYOVD (Bring Your Own Vulnerable Driver) is a class of attack in which threat actors drop known vulnerable drivers on a compromised machine and then exploit the bug(s) to gain kernel-level privileges. At this level of access, attackers can accomplish a lot: hide malware, dump credentials, and, crucially, attempt to disable EDR solutions.
Scoperte numerose vulnerabilità in un driver di sicurezza molto popolare
Nel luglio 2023, le nostre regole di comportamento proattivo sono scattate in seguito a un tentativo di caricare un driver denominato pskmad_64.sys (Panda Memory Access Driver) su un computer protetto. Il driver è di proprietà di Panda Security e viene utilizzato all’interno di molti dei suoi prodotti.
Panda Security : plusieurs vulnérabilités découvertes dans un pilote de sécurité largement utilisé
En juillet 2023, nos règles de comportement proactives se sont déclenchées lors d’une tentative de chargement d’un pilote nommé pskmad_64.sys (Panda Memory Access Driver) sur une machine protégée. Le pilote appartenait à Panda Security et était utilisé dans plusieurs de ses produits.
広く使用されているセキュリティドライバーに複数の脆弱性が発見される
** 本記事は、Multiple vulnerabilities discovered in widely used security driver の翻訳です。最新の情報は英語記事をご覧ください。** 2023 年 7 月に、pskmad_64.sys (Panda Memory Access Driver) という名前のドライバーを保護されたマシンにロードしようとする試みにより、ソフォスのプロアクティブな動作検知ルールがトリガーされました。このドライバーは Panda Security のもので、同社の多くの製品で使用されています。 EDR 製品の無効化を目的とした正規ドライバーの悪用が増加していること (数か月前に Microsoft の署名入りドライバーの危険性に関する記事で検証した問題) や、そのドライバーがロードされた背景を踏まえて、ソフォスはこのファイルの詳しい調査を開始しました。 評価のやり直しとお客様とのやり取りを経て、元のインシデントは APT のシミュレーションテストとして識別されました。しかし、ソフォスの調査の結果、3...
Multiple vulnerabilities discovered in widely used security driver
In July 2023, our proactive behavior rules triggered on an attempt to load a driver named pskmad_64.sys (Panda Memory Access Driver) on a protected machine. The driver is owned by Panda Security and used in many of their products.
Process Explorer のドライバを悪用し、EDR を妨害するマルウェア「AuKill」
ドライバを悪用してセキュリティ製品を無効化する攻撃が増加しています。 Threat Research aukill backstab edr EDR の回避 edr キラー Process Explorer procexp sophos x-ops アクティブアドバーサリ プレイブック マルウェア 標的型攻撃 特集 脅威調査 ** 本記事は、‘AuKill’ EDR killer malware abuses Process Explorer driver の翻訳です。最新の情報は英語記事をご覧ください。** Sophos X-Ops は過去数ヶ月間にわたって、攻撃者が AuKill と命名した防御機能を回避する新しいツールによって、EDR クライアントを無効化する複数のインシデントを調査しました。AuKill ツールは、マイクロソフトのユーティリティである Process Explorer のバージョン 16.32 で使用されていた古いバージョンのドライバを悪用し、標的システムにバックドアやランサムウェアを展開する前に、EDR プロセスを無効化します。 AuKill...
‘AuKill’ EDR killer malware abuses Process Explorer driver
Over the past several months, Sophos X-Ops has investigated multiple incidents where attackers attempted to disable EDR clients with a new defense evasion tool we’ve dubbed AuKill. The AuKill tool abuses an outdated version of the driver used by version 16.32 of the Microsoft utility, Process Explorer, to disable EDR processes before deploying either a backdoor or ransomware on the target system.
高い信頼性のある署名を悪用するアンチウィルスキラーマルウェア
サイバー犯罪者は、BURNTCIGAR と呼ばれるツールと密接に関連するアンチウィルスキラーマルウェアを、正規の WHCP 証明書で署名しています。 Security Operations ADV220005 BURNTCIGAR BYOVD CUBA ランサムウェア SBOM Sophos X-Ops WHCP WHQL Windows x-ops サプライチェーンの侵害 セキュリティオペレーション ドライバ ドライバ署名の強制 月例パッチ 署名付きドライバ 脅威リサーチ ** 本記事は、Signed driver malware moves up the software trust chain の翻訳です。最新の情報は英語記事をご覧ください。** Sophos X-Ops Rapid Response (RR) は、ある顧客のネットワークで攻撃が疑われる活動を調査していたところ、感染したマシンにあった 2 つのファイルを発見しました。この 2 つのファイルは、さまざまなエンドポイントセキュリティ製品ベンダーが使用するプロセスやサービスを終了させるために使用されていました。...
Signed driver malware moves up the software trust chain
While investigating suspicious activity on a customer network, Sophos X-Ops Rapid Response (RR) discovered a pair of files left behind on some compromised machines. The two files work together to terminate processes or services used by a variety of endpoint security product vendors. Because the RR team kicked the attackers off the systems, preventing further damage, it isn’t possible to know for certain which ransomware the attackers intended to deploy.
Remove All The Callbacks - BlackByte Ransomware Disables EDR Via RTCore64.sys Abuse
With reports of a new data-leak site published by actors behind the BlackByte ransomware, we decided to take another look at the most recent variant written in Go. We found a sophisticated technique to bypass security products by abusing a known vulnerability in the legitimate vulnerable driver RTCore64.sys. The evasion technique supports disabling a whopping list of over 1,000 drivers on which security products rely to provide protection.
Attacking Emotet’s Control Flow Flattening
Emotet has been one of the most professional and long-lasting cybercrime services and malware infections in the threat landscape. Notorious since shortly after its debut in 2014, the botnet was disrupted in January 2021 by a multinational law enforcement effort that sidelined its activity for almost a year. Unfortunately, in November 2021 the botnet re-emerged and once again began to appear on Sophos’ radar.
XMas packets, STOMP and STD: Reverse Engineering an IoT botnet
Collecting C2 commands Finally we can reimplement the C2 protocol and start communicating with the C2 server. The C2 server will believe that a valid infected machine sent the initial beacon and will start sending C2 commands to execute.
Diving into MassLogger
There are many things that can be logged on a computer. While not all logging data is useful for the average user, a lot of logging goes on in the background of any system. However: There is good logging and bad logging. We have looked at an example of logging you definitely would not want. Over the last weeks we observed a malware variant named MassLogger which is sold on hacker forums and advertised via Youtube videos.
Show More
loading
Actions
Is this you?
As a journalist, you can create a free Muck Rack account to customize your profile, list your contact preferences, and upload a portfolio of your best work.Get in touch with Andreas
Contact Andreas, search articles and posts on X, monitor coverage, and track replies from one place.
Learn more about Muck Rack