Picus Security deckt Angriffstechnik zur Umgehung von Abwehrmaßnahmen auf
Die Analyse von Picus Security erläutert die 'Safe Mode Boot'-Technik, mit der Angreifer Systeme in einen Diagnosemodus starten, um Sicherheitssoftware zu deaktivieren und bösartige Aktionen unentdeckt auszuführen.
Das Cybersicherheitsunternehmen Picus Security hat eine Angriffstechnik namens "Safe Mode Boot" (T1562.009 im MITRE ATT&CK-Framework) detailliert beschrieben. Diese Methode ermöglicht es Angreifern, ein kompromittiertes System im abgesicherten Modus von Windows zu starten, einem Diagnose-Startzustand, der nur wesentliche Dienste und Treiber lädt. Auf diese Weise können Angreifer effektiv die Sicherheitssoftware von Drittanbietern, wie Antivirus- und Endpoint-Detection-and-Response-Lösungen (EDR), deaktivieren, die in diesem Modus normalerweise inaktiv sind.
Die "Safe Mode Boot"-Technik nutzt den vorgesehenen Diagnosezweck dieser Windows-Funktion aus. Während der abgesicherte Modus dazu dient, Benutzern bei der Fehlerbehebung von Systemproblemen zu helfen, indem Probleme isoliert werden, nutzen Angreifer diese reduzierte Betriebsumgebung, um Sicherheitskontrollen zu umgehen, die normalerweise bösartige Aktivitäten erkennen und blockieren würden. Dies schafft ein Zeitfenster für Angreifer, um Malware zu installieren oder andere illegale Operationen durchzuführen, ohne sofortige Alarmierungen auszulösen.
Picus Securitys Analyse erklärt, wie Angreifer diese Taktik anwenden und liefert Beispiele aus der Praxis. Der Bericht erwähnt speziell die RA World Ransomware, die im März 2024 beobachtet wurde, wie sie den abgesicherten Modus mit Netzwerkanbindung aktivierte, indem sie einen Dienst erstellte, der Systemregistrierungsschlüssel modifizierte. Angreifer können auch die "Boot Configuration Data" (BCD) des Systems manipulieren, um sicherzustellen, dass der abgesicherte Modus mit Netzwerkanbindung nach einem Neustart aufgerufen wird.
Das Verständnis dieser Abwehrumgehungstechnik ist für Organisationen, die ihre Sicherheitslage verbessern wollen, von entscheidender Bedeutung. Indem Sicherheitsteams erkennen, wie Angreifer den abgesicherten Modus ausnutzen könnten, können sie ihre Abwehrmaßnahmen besser vorbereiten und Überwachungsstrategien implementieren, um solche Umgehungsversuche zu erkennen.