ThreatsDay: lạm dụng driver ký số, chiến dịch đánh cắp dữ liệu và mã độc mới
"The article reports multiple cybersecurity developments, including research showing Microsoft Defender's signed BTR.sys remediation driver can be abused to bypass endpoint defenses without BYOVD, and a separate campaign using a vulnerable driver (DCRCVDrv.sys) for privilege escalation and security process termination. It also covers a long-running Iran-linked cyber theft case, a Grandoreiro DLL sideloading campaign, and other exploit activity, with no single CVE cited in the provided text and no patch details given."
Rủi ro cao do driver ký số và ứng dụng hợp lệ bị lạm dụng để vượt qua EDR, leo thang đặc quyền và tắt tiến trình bảo mật.
Có thể gây gián đoạn vận hành, rò rỉ dữ liệu và tăng chi phí ứng phó khi các chiến dịch nhắm vào trường đại học, doanh nghiệp và hệ thống công khai.
Bản tin tuần này ghi nhận nhiều hoạt động tấn công tập trung vào việc lợi dụng thành phần hợp lệ để vượt qua phòng thủ. Nghiên cứu mới cho thấy driver ký số BTR.sys của Microsoft Defender có thể bị tái sử dụng để bypass EDR trong “golden window” giữa lúc hệ thống khởi động và khi chế độ người dùng sẵn sàng, mà không cần BYOVD theo cách truyền thống.
Ở một diễn biến khác, Bộ Tư pháp Mỹ đã truy tố 17 người Iran liên quan đến chiến dịch xâm nhập kéo dài từ khoảng 2013 đến ít nhất 2017, nhắm vào 144 trường đại học Mỹ, 178 trường đại học nước ngoài và nhiều tổ chức khác. Cơ quan ngoại giao Mỹ cũng công bố phần thưởng 10 triệu USD cho thông tin liên quan đến một số bị cáo.
Bản tin còn đề cập chiến dịch Grandoreiro lợi dụng ứng dụng hợp lệ Duplicate Files Finder (DFF) để thực thi mã độc qua DLL sideloading, cùng các chiến dịch ClickFix kết hợp ErrTraffic và Cruciferra để leo thang đặc quyền bằng driver dễ tổn thương DCRCVDrv.sys.
Khuyến nghị: rà soát việc nạp driver, giám sát hành vi khởi động sớm, tăng kiểm soát ứng dụng hợp lệ bị lạm dụng, và ưu tiên phát hiện DLL sideloading, BYOVD và các chuỗi tấn công MaaS/TDS.