Terminator / BYOVD

Инструмент Terminator‏ является частью класса атак, известного‏ как ”Принеси‏ собственный‏ уязвимый драйвер” (BYOVD).‏ Эта стратегия‏ предполагает использование легитимных, но‏ уязвимых‏ драйверов для‏ обхода мер‏ безопасности, прерывания процессов защиты от‏ вирусов‏ и EDR‏ и выполнения‏ вредоносных действий без обнаружения.

Особенности угрозы‏ эксплуатации‏ инструмента

Инструмент‏ Terminator представляет‏ собой серьезную‏ угрозу из-за‏ своей‏ способности отключать‏ защитные решения, тем самым способствуя‏ целому ряду‏ вредоносных‏ действий. Эти действия‏ могут варьироваться‏ от развертывания дополнительных вредоносных‏ программ‏ до масштабной‏ компрометации системы‏ и сбоев в работе.

Техническая сложность‏ и‏ проблемы с‏ оценкой рисков

Оценить‏ риск, связанный с инструментарием Terminator,‏ сложно‏ по‏ ряду причин.‏ К ним‏ относятся эволюционирующий‏ характер‏ инструмента, разнообразие‏ и масштаб применения, а также‏ диапазон потенциальных‏ целей.‏ Точный процент успеха‏ Terminator в‏ компрометации организаций трудно оценить‏ количественно.‏ Однако его‏ техническая сложность‏ в сочетании с растущей популярностью‏ методов‏ BYOVD среди‏ участников угроз‏ свидетельствует о растущей угрозе

Кибератака с‏ использованием‏ Terminator‏ может иметь‏ серьезные последствия‏ для организации.‏ С‏ точки зрения‏ операционной деятельности, финансовые последствия могут‏ включать значительные‏ расходы‏ на реагирование на‏ инциденты, восстановление‏ системы, судебные издержки и‏ возможные‏ штрафы за‏ нарушение нормативных‏ требований. Более того, репутационный ущерб‏ от‏ успешного взлома‏ может привести‏ к потере доверия клиентов, истощению‏ ресурсов‏ и‏ невыгодному положению‏ в конкурентной‏ борьбе, особенно‏ в‏ случае утечки‏ конфиденциальных данных или их фальсификации

Эволюция‏ и варианты‏ Terminator

С‏ момента своего первоначального‏ выпуска было‏ разработано множество вариантов инструмента‏ Terminator,‏ включая версии‏ с открытым‏ исходным кодом и написанные на‏ разных‏ языках программирования,‏ таких как‏ C# (SharpTerminator) и Nim (Ternimator).‏ Эти‏ варианты‏ нацелены на‏ воспроизведение оригинальной‏ технологии или‏ предлагают‏ кроссплатформенную поддержку,‏ что потенциально позволяет обойти статические‏ средства обнаружения‏ или‏ эвристические модели.

Атаки и‏ их последствия

Использование‏ инструмента Terminator и его‏ разновидностей‏ известно, например‏ заметная атака‏ на организацию здравоохранения 15 декабря‏ 2023‏ года. В‏ ходе этой‏ атаки злоумышленники попытались выполнить команду‏ PowerShell‏ для‏ загрузки текстового‏ файла с‏ сервера C2,‏ который‏ был предназначен‏ для установки XMRig cryptominer в‏ целевой системе.

Распространенные‏ методы,‏ используемые злоумышленниками для‏ злоупотребления инструментом‏ Terminator:

1. Использование легитимных, но уязвимых‏ драйверов

Злоумышленники‏ внедряют легитимный‏ драйвер, который‏ является уязвимым, в целевую систему,‏ а‏ затем используют‏ уязвимый драйвер‏ для выполнения вредоносных действий. Это‏ основной‏ принцип‏ атак BYOVD,‏ при которых‏ инструмент Terminator‏ использует‏ уязвимости в‏ таких драйверах, как zam64.sys (Zemana‏ Anti-Logger) или‏ zamguard64.sys‏ (Zemana Anti-Malware), чтобы‏ получить привилегии‏ ядра и выполнить предоставленный‏ злоумышленником‏ код в‏ контексте ядра

2. Повышение‏ привилегий на уровне ядра

Успешная эксплуатация‏ позволяет‏ злоумышленникам добиться‏ повышения привилегий‏ на уровне ядра, предоставляя им‏ наивысший‏ уровень‏ доступа и‏ контроля над‏ системными ресурсами.‏ Эти‏ повышенные привилегии‏ используются путем отключения программного обеспечения‏ endpoint security‏ или‏ уклонения от его‏ обнаружения, что‏ позволяет злоумышленникам беспрепятственно выполнять‏ вредоносные‏ действия

3. Отключение защитных‏ решений

Как‏ только защита endpoint security взломана,‏ злоумышленники‏ могут отключить‏ антивирус и‏ процессы обнаружения и реагирования на‏ конечные‏ точки‏ (EDR), развернуть‏ дополнительное вредоносное‏ ПО или‏ выполнить‏ другие вредоносные‏ действия без обнаружения. Инструмент Terminator‏ специально нацелен‏ на‏ процессы, связанные с‏ решениями для‏ обеспечения безопасности, и завершает‏ их,‏ эффективно скрывая‏ их от‏ текущих атак

4. Использование IOCTL-кодов

Инструмент Terminator и‏ его‏ варианты используют‏ коды IOCTL‏ (управление вводом/выводом) для запроса функциональных‏ возможностей‏ у‏ уязвимого драйвера,‏ таких как‏ попытка завершить‏ целевые‏ процессы. Это‏ включает в себя отправку определенных‏ IOCTL-кодов вместе‏ с‏ параметрами, такими как‏ идентификатор запущенного‏ процесса, чтобы манипулировать поведением‏ драйвера‏ в интересах‏ злоумышленника

5. Административные привилегии‏ и обход контроля учетных записей

Чтобы‏ эффективно‏ использовать драйвер,‏ злоумышленнику потребуются‏ административные привилегии и возможность обхода‏ контроля‏ учетных‏ записей пользователей‏ (UAC), или‏ же ему‏ потребуется‏ убедить пользователя‏ принять запрос UAC. Это требование‏ подчеркивает важность‏ тактики‏ повышения привилегий и‏ социальной инженерии‏ для успешного развертывания средства‏ Terminator

6. Предотвращение‏ обнаружения

Злоумышленники разработали‏ свои методы,‏ позволяющие избежать обнаружения с помощью‏ средств‏ защиты. Например,‏ инструмент Terminator‏ пытается эмулировать легитимные заголовки протоколов/файлов,‏ чтобы‏ обойти‏ меры безопасности,‏ хотя это‏ и не‏ увенчалось‏ успехом. Использование‏ легитимных протоколов и служб в‏ качестве серверов‏ управления‏ и контроля (C&‏ C) или‏ каналов связи является еще‏ одной‏ тактикой для‏ сокрытия своих‏ следов

7. Использование общедоступных платформ и протоколов

Злоумышленники‏ также‏ используют общедоступные‏ платформы и‏ протоколы, такие как мессенджеры (IMs)‏ и‏ бесплатные‏ почтовые сервисы,‏ для взаимодействия‏ со взломанными‏ системами‏ и поддержания‏ контроля над своими целями. Этот‏ метод помогает‏ сочетать‏ вредоносный трафик с‏ законной сетевой‏ активностью, что усложняет обнаружение