Cruciferra Crypter dùng BYOVD và Process Ghosting để che mã độc trên Windows
"Researchers reported that the Cruciferra crypter is being used by multiple cybercrime groups to deliver RATs and information stealers while evading detection on Windows systems. The malware uses DLL side-loading, BYOVD-based EDR tampering, privilege escalation, persistence via the Run key, and a Process Ghosting variant to load payloads in memory and reduce forensic artifacts."
Tác động đáng kể do chuỗi kỹ thuật né tránh nhiều lớp: Process Ghosting làm giảm khả năng quét tệp, BYOVD/EDR tampering gây khó khăn cho phát hiện tại endpoint, và privilege escalation + persistence tăng độ bền của xâm nhập.
Nguy cơ gián đoạn vận hành và rò rỉ dữ liệu tăng vì nhắm vào nhiều ngành trọng yếu; các chiến dịch dựa trên phishing có thể mở rộng nhanh theo khối lượng tin nhắn và dẫn tới triển khai RAT/information stealer.
Các nhà nghiên cứu cho biết Cruciferra crypter đang được nhiều nhóm tội phạm mạng sử dụng để phân phối RAT và information stealer trên hệ thống Windows, đồng thời né tránh phát hiện và điều tra sự cố. Theo phân tích của Proofpoint, công cụ này được viết bằng Mono và tích hợp nhiều kỹ thuật nhằm giảm khả năng bị phân tích, bao gồm DLL side-loading, indirect system calls, và API/IAT unhooking.
Cruciferra còn sử dụng BYOVD (bring-your-own-vulnerable-driver) để can thiệp EDR, kết hợp privilege escalation và cơ chế persistence qua khóa Run trong registry. Đặc biệt, biến thể Process Ghosting được dùng để nạp payload trực tiếp vào bộ nhớ, giảm dấu vết pháp y vì mã độc được thực thi từ tệp tạm rồi bị xóa trước khi process khởi chạy.
Một số chiến dịch quan sát được dùng lừa đảo theo chủ đề thuế, nhắm các lĩnh vực tài chính, y tế, chính phủ, giáo dục và sản xuất. Khuyến nghị kỹ thuật: tăng cường giám sát hành vi liên quan đến Process Ghosting, kiểm tra dấu hiệu EDR tampering/BYOVD, siết cấu hình DLL side-loading và rà soát các thay đổi registry tại Software\Microsoft\Windows\CurrentVersion\Run.