Picus Security paljastaa uhkatekniikan, jolla hyökkääjät ohittavat puolustukset
Picus Securityn analyysi selittää, kuinka hyökkääjät voivat käyttää Windowsin "vikatilaa" turvatoimien poistamiseen ja haitallisten toimintojen suorittamiseen huomaamatta.
Kyberturvallisuusyritys Picus Security on tuonut esiin haitallisen hyökkäystekniikan, joka tunnetaan nimellä "Safe Mode Boot" (T1562.009 MITRE ATT&CK -viitekehyksessä). Tämän tekniikan avulla hyökkääjät voivat käynnistää tietokoneen vikatilaan, poistaa käytöstä kolmannen osapuolen tietoturvaohjelmistot, kuten virustorjunnan ja päätepisteturvallisuuden, ja suorittaa haitallisia toimintoja ilman havaitsemisen riskiä.
Vikatila on Windowsin diagnostiikkatila, joka lataa vain järjestelmän perustoiminnot ja ajurit. Vaikka se on suunniteltu vianmääritykseen, hyökkääjät hyödyntävät tätä yksinkertaistettua ympäristöä ohittaakseen normaalisti aktiiviset turvatoimet. Tämä mahdollistaa haittaohjelmien asentamisen tai muiden hyökkäysten suorittamisen, jolloin ne jäävät todennäköisemmin huomaamatta.
Picus Securityn blogikirjoitus kuvaa yksityiskohtaisesti, kuinka hyökkääjät käyttävät tätä tekniikkaa ja tarjoaa esimerkkejä todellisista hyökkäyksistä. Raportissa mainitaan RA World -kiristyshaittaohjelma, joka viime vuonna mahdollisti vikatilan verkon kanssa luomalla palvelun, joka lisäsi rekisteriavaimia tätä tarkoitusta varten.
Hyökkääjät voivat myös muokata järjestelmän käynnistysasetuksia (Boot Configuration Data) mahdollistaakseen vikatilan verkon kanssa. Tämän tekniikan ymmärtäminen on olennaista yrityksille parantaa puolustuskykyään ja tunnistaa mahdollisia merkkejä hyökkäyksestä, joka pyrkii piiloutumaan järjestelmän vianmääritysominaisuuksien taakse.