Un cybercriminale noto come Spyboy ha pubblicizzato su un forum russo il tool Terminator che permette di “terminare” i principali antivirus e le principali piattaforme XDR/EDR sul mercato. Il prezzo della versione per singole soluzioni di sicurezza è 300 dollari, mentre quello per il pacchetto “all-in-one” è 3.000 dollari (scontato a 1.500 dollari per i primi 5 acquirenti).
Terminator disattiva gli antivirus
Quasi tutti gli attacchi informatici prevedono l’uso di tecniche per aggirare la protezione delle soluzioni di sicurezza. In alcuni casi vengono utilizzati specifici tool, come Terminator. Spyboy afferma che il software, compatibile con le versioni di Windows da 7 a 11, può terminare 23 prodotti, tra cui quelli di Microsoft (Defender), Kaspersky, ESET, Avast, AVG, Symantec, McAfee, Panda, Bitdefender e Malwarebytes.
Un ricercatore di CrowdStrike ha scoperto che Terminator richiede i privilegi di amministratore. Il tool copia nella directory C:\Windows\System32\drivers\ una versione legittima e firmata del driver di Zemana Anti-Malware. Invece del nome ufficiale (zamguard64.sys o zam64.sys), al file viene assegnato un nome casuale con un numero causale di caratteri compreso tra 4 e 10.
La tecnica è simile a quella denominata BYOVD (Bring Your Own Vulnerable Driver). Successivamente, Terminator carica il driver in memoria e disattiva i processi degli antivirus. Non è chiaro come il tool sfrutti il driver legittimo, ma probabilmente viene utilizzato un exploit basato sulle vulnerabilità scoperte nel 2021.
Al momento, il driver viene considerato malware da un solo antivirus. Utilizzando Terminator è quindi possibile aggirare le soluzioni di sicurezza ed eseguire altre attività in maniera indisturbata, come il furto di dati e il download di altri payload.
Ti potrebbe interessare
1 giu 2023