RansomHub 勒索软件团伙依赖卡巴斯基 TDSKiller 工具禁用 EDR

RansomHub勒索软件帮派依靠Kaspersky TDSKiller工具禁用EDR

Pierluigi Paganini 2024年9月11日

研究人员使用TDSSKiller工具观察了RansomHub勒索软件组，以禁用端点检测和响应（EDR）系统。

RansomHub Ransomware Gang正在使用TDSSkiller工具禁用端点检测和响应（EDR）系统，Malwarebytes威胁托管托管检测和响应（MDR）团队观察到。

RansomHub勒索软件帮派

TDSSkiller由网络安全公司Kaspersky开发的合法工具以删除Rootkits，该软件还可以通过命令行脚本或批处理文件禁用EDR解决方案。

专家注意到勒索软件集团还使用Lazagne工具来收获证书。 在由MDR调查的案例中，专家观察到Lazagne生成了60个文件写作，可能会记录提取的凭据，并执行了1个文件删除，可能会隐藏凭证收获活动的痕迹。

lazagne

“尽管TDSSkiller和Lazagne曾被攻击者使用多年，但这是Ransomhub在其运营中使用它们的第一个记录，TTP未在CISA最近出版的RansomHub咨询中列出。”阅读MDR的MDR报告。 “这些工具是通过管理组枚举（例如net1组“企业管理员” /do）在初次侦察和网络探测之后部署的工具。 “

CISA最近发布的咨询 报告 Net1组“企业管理员” /DO。 RansomHub使用TDSSKiller和-DCSVC标志使用TDSSKILLER来尝试禁用关键安全服务，专门针对Malwarebytes反恶意软件服务（MBAMService）。该命令旨在通过禁用此服务来破坏安全防御。 命令行：tdsskiller.exe -dcsvc mbamservice，其中使用-DCSVC标志来定位特定服务。在这种情况下，攻击者试图禁用MBAMService。 命令行 tdsskiller.exe -dcsvc mbamservice mbamservice 伪造 socgholish 骑士勒索软件 报告 lockbit勒索软件 -DCSVC （ - CISA最近发布的咨询 报告

Net1组“企业管理员” /DO。 RansomHub使用TDSSKiller和-DCSVC标志使用TDSSKILLER来尝试禁用关键安全服务，专门针对Malwarebytes反恶意软件服务（MBAMService）。该命令旨在通过禁用此服务来破坏安全防御。 命令行：tdsskiller.exe -dcsvc mbamservice，其中使用-DCSVC标志来定位特定服务。在这种情况下，攻击者试图禁用MBAMService。 命令行 tdsskiller.exe -dcsvc mbamservice mbamservice 伪造 socgholish 骑士勒索软件 报告 lockbit勒索软件 -DCSVC （ -

Net1组“企业管理员” /DO。

RansomHub使用TDSSKiller和-DCSVC标志使用TDSSKILLER来尝试禁用关键安全服务，专门针对Malwarebytes反恶意软件服务（MBAMService）。该命令旨在通过禁用此服务来破坏安全防御。 命令行：tdsskiller.exe -dcsvc mbamservice，其中使用-DCSVC标志来定位特定服务。在这种情况下，攻击者试图禁用MBAMService。 命令行 tdsskiller.exe -dcsvc mbamservice mbamservice 伪造 socgholish 骑士勒索软件 报告 lockbit勒索软件 -DCSVC（-