باج‌افزار مدوسا از درایور مخرب برای غیرفعال کردن ابزارهای ضدبدافزار با گواهی‌های سرقتی استفاده می‌کند

عاملان تهدید پشت عملیات باج‌افزار مدوسا (Medusa ransomware-as-a-service) از درایور مخربی به نام ABYSSWORKER در حملات BYOVD (bring your own vulnerable driver) برای غیرفعال کردن ابزارهای ضدبدافزار استفاده می‌کنند. آزمایشگاه امنیت الاستیک گزارش داد که این حمله باج‌افزاری از طریق لودری که با سرویس HeartCrypt بسته‌بندی شده، رمزگذار را تحویل می‌دهد و همراه با درایور “smuol.sys” که گواهی لغوشده چینی دارد و خود را شبیه درایور مشروع CrowdStrike Falcon جا می‌زند، سیستم‌های EDR مختلف را هدف قرار می‌دهد.

درایور ABYSSWORKER که از آگوست ۲۰۲۴ تا فوریه ۲۰۲۵ در پلتفرم VirusTotal شناسایی شده، قابلیت‌های گسترده‌ای از دستکاری فایل تا خاتمه فرآیندها و درایورها ارائه می‌دهد و با کدهای کنترل I/O مختلف از جمله 0x222400 برای حذف callback های امنیتی عمل می‌کند. همزمان، گروه باج‌افزار RansomHub از بک‌دور چندمنظوره Betruger استفاده می‌کند که شامل قابلیت‌های اسکرین‌شات، keylogging، اسکن شبکه و استخراج اطلاعات است، در حالی که تهدیدکنندگان دیگر از آسیب‌پذیری درایور ZoneAlarm چک‌پوینت برای دسترسی RDP و کنترل کامل سیستم‌ها سوءاستفاده کرده‌اند.