Picus Security avslöjar attackteknik för att kringgå försvar
Picus Securitys analys beskriver hur angripare kan använda Windows felsäkert läge för att inaktivera säkerhetskontroller och utföra skadliga åtgärder oupptäckta.
Cybersäkerhetsföretaget Picus Security har belyst en skadlig attackteknik känd som "Safe Mode Boot" (T1562.009 i MITRE ATT&CK-ramverket). Denna metod tillåter angripare att starta ett system i felsäkert läge, vilket inaktiverar tredjeparts säkerhetsprogramvara som antivirus och endpoint detection and response (EDR). Angripare kan sedan utföra skadliga åtgärder utan att utlösas av säkerhetskontroller.
Felsäkert läge är en diagnostisk startfunktion i Windows som laddar endast nödvändiga systemtjänster och drivrutiner. Medan det är avsett för felsökning, utnyttjar angripare denna minimerade miljö för att kringgå normalt aktiva säkerhetsåtgärder. Detta ökar chansen att de kan installera skadlig kod eller genomföra andra attacker utan omedelbart motstånd.
Picus Securitys blogginlägg detaljerar hur angripare använder denna teknik och ger exempel från verkliga attacker. Rapporten hänvisar till RA World ransomware, som i mars 2024 rapporterades aktivera felsäkert läge med nätverksåtkomst genom att skapa en tjänst som modifierade systemets register.
Angripare kan också manipulera systemets "Boot Configuration Data" (BCD) för att säkerställa att felsäkert läge med nätverksåtkomst aktiveras. Förståelse för denna teknik är avgörande för organisationer som vill stärka sina försvar och identifiera potentiella tecken på attacker som försöker gömma sig bakom systemets egna felsökningsfunktioner.