Bloccare gli attaccanti che vogliono disattivare la protezione degli endpoint

La maggior parte delle persone immagina un attacco informatico come qualcosa di eclatante: file che vengono cifrati, schermate che si bloccano, una richiesta di riscatto che compare sullo schermo. Ma gli attacchi che provocano i danni più gravi iniziano solitamente in silenzio.

Prima di sottrarre dati o distribuire ransomware, gli attaccanti cercano di assicurarsi che nessuno li stia osservando. Questo significa occuparsi innanzitutto della protezione degli endpoint presente sul dispositivo.

Gli strumenti progettati a questo scopo hanno un nome piuttosto esplicito nel settore della sicurezza: EDR Killer. Capire come funzionano e perché sono più difficili da fermare di quanto il loro nome lasci intendere aiuta a comprendere ciò che una protezione efficace deve fare.

Perché gli attaccanti prendono di mira la protezione degli endpoint?

I moderni sistemi di protezione degli endpoint svolgono due funzioni principali. Bloccano gli attacchi che riconoscono e registrano ciò che accade sul dispositivo, consentendo di rilevare e analizzare i comportamenti sospetti. Questa seconda funzione è chiamata Endpoint Detection and Response (EDR).

Entrambe ostacolano gli aggressori. Se la protezione è attiva, la tecnica di exploit o il ransomware vengono bloccati. Se la registrazione degli eventi è attiva, l’intrusione viene rilevata.

Gli attaccanti trattano quindi il software di sicurezza come un ladro tratta una telecamera di sorveglianza: se ne occupano prima di fare qualsiasi altra cosa. Una delle prime fasi di un’intrusione condotta direttamente dall’aggressore consiste spesso nell’indebolire o disattivare il software di sicurezza, per poi proseguire con l’attacco vero e proprio mentre il dispositivo è privo di visibilità.

Un EDR Killer è qualsiasi strumento progettato per questo scopo. Alcuni sono malware creati appositamente; altri sono software legittimi riutilizzati in modo improprio. Gli esperti di Sophos X-Ops hanno osservato lo stesso EDR Killer, ricompilato per ogni attacco, impiegato prima di attacchi ransomware condotti da diversi gruppi concorrenti. L’obiettivo è sempre lo stesso: disattivare le difese e poi procedere.

Porta il Tuo Autista Vulnerabile

La protezione degli endpoint opera con privilegi elevati, perciò un normale processo non può semplicemente terminarla. Per riuscirci, un cyber criminale ha bisogno dell’intervento del kernel di Windows, il livello più privilegiato del sistema operativo.

Uno dei metodi più comuni per ottenere questo risultato è una tecnica chiamata Bring Your Own Vulnerable Driver (BYOVD), ovvero utilizzare un driver vulnerabile. Un driver è un piccolo componente software che permette a Windows di comunicare con l’hardware o con altri componenti di basso livello, e viene eseguito all’interno del kernel. Windows carica soltanto driver firmati digitalmente da un editore attendibile. Il problema è che alcuni driver regolarmente firmati, spesso meno recenti, contengono vulnerabilità che consentono a chi li carica di fare molto più di quanto previsto dal loro scopo originario.

L’attaccante non deve violare le regole: porta con sé un driver autentico, firmato e attendibile, lo installa sul dispositivo della vittima e sfrutta la vulnerabilità per utilizzarlo come strumento d’attacco. Poiché il driver opera nel kernel può compiere azioni precluse a un normale processo, come chiudere forzatamente i processi della protezione degli endpoint. Il driver non è un malware: è un componente legittimo utilizzato per uno scopo illecito. Di conseguenza, gli strumenti che cercano file malevoli non hanno nulla da rilevare.

Come si presenta una protezione efficace

Una singola difesa contro gli EDR Killer non è sufficiente, perché gli attaccanti possono seguire diverse strade. La protezione deve contrastare l’attacco contemporaneamente da più punti di vista.

Molti EDR Killer e i driver da cui dipendono sono già noti; quindi, una protezione basata sulla reputazione dovrebbe bloccarli immediatamente. Un driver noto per essere sfruttabile dovrebbe essere bloccato direttamente, per impostazione predefinita, perché raramente esiste una buona ragione per consentirne il caricamento. Il blocco non dovrebbe dipendere dal fatto che l’attacco abbia prima seguito una specifica sequenza di operazioni.

Gli aggressori modificano anche i propri strumenti, perciò la protezione deve valutare il comportamento oltre all’identità. Il modo in cui un programma interagisce con un driver e ciò che accade contemporaneamente sul dispositivo dovrebbero essere importanti quanto l’identità del driver stesso.

Non tutti gli EDR Killer, inoltre, richiedono un driver vulnerabile. Alcuni sfruttano i driver firmati distribuiti insieme a strumenti legittimi di verifica della sicurezza, mentre altri lasciano attiva la protezione e prendono di mira la registrazione degli eventi. La protezione deve coprire anche queste modalità d’attacco.

Un attaccante determinato, dopo essere stato bloccato una prima volta, proverà di nuovo. La protezione dovrebbe reagire ai tentativi ripetuti rafforzando le difese, anziché attendere la mossa successiva.

Infine, la protezione contro l’obiettivo finale dell’aggressore, come il ransomware, dovrebbe funzionare indipendentemente dai processi che gli EDR Killer cercano di terminare. In questo modo può continuare a operare anche se l’attaccante riesce ad avanzare più del previsto.

Come Sophos Endpoint blocca gli EDR Killer

Sophos Endpoint utilizza diversi livelli di difesa complementari contro gli EDR Killer, ciascuno dei quali interviene in una fase diversa dell’attacco.

La prima linea di difesa riguarda le minacce già note a Sophos. La protezione basata sulla reputazione blocca gli strumenti EDR Killer conosciuti e i file sospetti, sfruttando le informazioni sulle minacce raccolte attraverso le oltre 300.000 organizzazioni che utilizzano Sophos Endpoint in tutto il mondo. Vengono bloccati anche i driver vulnerabili noti, grazie all'impostazione Block vulnerable drivers di Sophos Endpoint, attiva per default su ogni dispositivo protetto. Il segnale è il driver stesso, che viene bloccato prima che possa essere utilizzato contro Sophos Endpoint, indipendentemente dalla sequenza seguita dall'attacco.

Questo approccio funziona perché si basa su una caratteristica che gli attaccanti non possono modificare facilmente. Per poter essere caricato, un driver vulnerabile deve essere firmato digitalmente in modo legittimo: l'attaccante non può quindi modificarne il file senza invalidare la firma. La sua impronta digitale univoca, ovvero l'hash crittografico, rimane invariata anche se il nome del file viene modificato. Le informazioni sulle minacce di Sophos X-Ops ampliano continuamente l'elenco dei driver bloccati, man mano che nuove ricerche e indagini sui clienti ne confermano la pericolosità. Gli aggiornamenti raggiungono i clienti senza richiedere un aggiornamento del prodotto. Se un determinato driver è necessario per legittime esigenze aziendali, gli amministratori possono autorizzarlo.

Un driver vulnerabile non è pericoloso di per sé. Diventa utile a un attaccante soltanto quando qualcuno inizia a impartirgli comandi. Questo avviene generalmente attraverso un'interfaccia standard di Windows ed è il momento in cui l'attacco diventa visibile. Sophos Endpoint monitora proprio questo tipo di comportamento. Un processo che installa un driver e subito dopo inizia a impartirgli comandi si comporta in modo sospetto. Sophos valuta questa attività insieme alle altre informazioni disponibili sul processo: la sua provenienza, il percorso da cui viene eseguito e le operazioni che ha svolto. Il tentativo di utilizzare un driver firmato contro la protezione degli endpoint viene valutato in base a ciò che il processo cerca di fare, non soltanto in base al driver utilizzato. È un aspetto importante, perché l'attaccante può sempre ricorrere a un driver diverso. La funzione Tamper Protection aggiunge una protezione autonoma a livello di kernel contro gli EDR Killer che utilizzano driver vulnerabili.

I driver vulnerabili non sono gli unici che gli attaccanti possono riutilizzare. Alcuni strumenti legittimi per i test di penetrazione includono driver firmati che possono essere sfruttati allo stesso modo. Un'impostazione complementare, Block security tool drivers, li blocca secondo lo stesso principio: il driver è noto, la sua impronta digitale non può essere modificata e il caricamento viene impedito in anticipo. Tamper Protection offre a Sophos Endpoint una protezione autonoma a livello di kernel contro gli EDR Killer che utilizzano driver vulnerabili.

Sophos Endpoint monitora inoltre il modo in cui i programmi utilizzano i driver, valutando tale attività alla luce di tutto ciò che avviene sul dispositivo. I tentativi di sfruttare un driver firmato contro il software di sicurezza vengono così giudicati in base al comportamento, non soltanto all'identità del driver.

Non tutti i tentativi di rendere cieco un dispositivo passano attraverso un driver. Alcuni attaccanti lasciano attiva la protezione e prendono di mira la registrazione degli eventi, manomettendo Event Tracing for Windows (ETW), il flusso di eventi generato da Windows su cui si basano i software di sicurezza, incluso Sophos Endpoint, per monitorare ciò che accade. L'impostazione Prevent ETW tampering di Sophos Endpoint blocca questi tentativi, consentendo al dispositivo di continuare a segnalare gli eventi anche mentre è sotto attacco.

Quando un criminale insiste nei propri tentativi, la protezione si rafforza. I comportamenti ripetuti riconducibili agli EDR Killer sono infatti uno dei segnali che attivano automaticamente Adaptive Attack Protection, che applica difese più rigorose sul dispositivo durante l'attacco. Anche CryptoGuard, la protezione anti-ransomware di Sophos Endpoint, opera come driver filtro all'interno del kernel, separatamente dai processi di protezione degli endpoint che gli EDR Killer cercano generalmente di terminare. Anche se un attaccante riesce a superare i livelli di difesa precedenti, non può quindi contare sulla possibilità di crittografare i dati. Nel 2024, gli autori di un tentativo di attacco RansomHub cercarono di disattivare la protezione Sophos con un EDR Killer chiamato EDRKillShifter. Lo strumento fallì e anche il ransomware eseguito successivamente non riuscì nel suo intento, perché venne bloccato da CryptoGuard.

Alcune organizzazioni desiderano adottare misure ancora più rigorose sui dispositivi che cambiano raramente configurazione, come i controller di dominio e altri server. Per questi sistemi, Sophos Endpoint offre l'impostazione Detect new kernel drivers. Quando viene attivata, ogni nuovo driver del kernel installato sul dispositivo viene registrato come evento. Gli amministratori possono quindi combinare questi eventi con regole di rilevamento personalizzate per generare un avviso o aprire un caso, per esempio ogni volta che viene rilevato un nuovo driver su un controller di dominio, assegnando all'evento una gravità elevata. L'impostazione è disattivata per impostazione predefinita perché, su una normale workstation, l'installazione di nuovi driver è un'attività ordinaria e genererebbe un volume eccessivo di eventi irrilevanti. Su un dispositivo la cui configurazione non dovrebbe cambiare, invece, la comparsa di un nuovo driver merita un controllo.

Un esempio concreto: sette tentativi, sette blocchi

Un recente incidente presso un cliente Sophos mostra come questi diversi livelli di difesa possano lavorare insieme.

Un attaccante ha tentato di caricare su un dispositivo protetto un driver vulnerabile, ma regolarmente firmato. Quando il caricamento è stato bloccato, ha rinominato il file per farlo sembrare un normale componente di Windows e ha ripetuto il tentativo più volte. Nell'arco di 76 minuti, lo stesso driver è stato presentato con sette nomi di file diversi, tutti simili a quelli utilizzati da Windows.

Ogni tentativo è stato bloccato. Il nome del file è cambiato sette volte, ma l'impronta digitale del driver è rimasta invariata: per questo la policy, attiva per impostazione predefinita, ha intercettato tutti i tentativi.

La ripetizione degli attacchi ha contribuito all'attivazione automatica di Adaptive Attack Protection sul dispositivo. Quando l'attaccante ha successivamente tentato una strategia diversa, modificando il registro di sistema per disabilitare Microsoft Defender, anche questo tentativo è stato bloccato.

Il driver vulnerabile non è mai stato caricato. Dopo un'ultima fase di ricognizione, non sono state osservate ulteriori attività malevole sul dispositivo.

Conclusioni

Gli aggressori prendono di mira per primi i software di sicurezza perché tutte le operazioni successive dipendono dalla possibilità di agire senza essere osservati. Sophos Endpoint è progettato tenendo conto di questa dinamica: gli strumenti noti vengono bloccati immediatamente; i driver vulnerabili conosciuti e quelli distribuiti con gli strumenti di penetration testing vengono bloccati; l'abuso dei driver viene valutato in base al comportamento; i meccanismi di registrazione degli eventi su cui si basano i diversi prodotti di protezione vengono salvaguardati; le difese si rafforzano quando l'attacco persiste; e la protezione più importante opera separatamente dai componenti presi di mira dagli EDR Killer. Le organizzazioni che desiderano adottare criteri più rigorosi sui server possono inoltre segnalare ogni nuovo driver installato.

Se state valutando una soluzione di protezione degli endpoint, chiedete al vostro fornitore come gestisce il caso in cui un driver regolarmente firmato venga utilizzato contro di voi.

Per saperne di più su Sophos Endpoint e avviare una prova gratuita, visitate sophos.com/endpoint.