هکرها ابزار EDRKillShifter گروه RansomHub را در حملات Medusa، BianLian و Play بازاستفاده می‌کنند

تحلیل جدیدی ارتباطات میان وابستگان گروه باج‌افزار RansomHub و سایر گروه‌های باج‌افزار نظیر Medusa، BianLian و Play را آشکار کرده است. این ارتباط ناشی از استفاده از ابزار سفارشی EDRKillShifter است که برای غیرفعال کردن نرم‌افزارهای تشخیص و پاسخ نقطه پایانی (EDR) در سیستم‌های آسیب‌دیده طراحی شده است. این ابزار که نخستین بار در اوت ۲۰۲۴ توسط عوامل RansomHub مستند شد، از تاکتیک شناخته‌شده “آوردن درایور آسیب‌پذیر خود” (BYOVD) استفاده می‌کند تا راه‌حل‌های امنیتی محافظ از نقاط پایانی را خاتمه دهد.

محققان ESET اظهار داشتند که هدف وابستگان در طول نفوذ، کسب مجوزهای مدیریتی یا مدیریت دامنه است و اپراتورهای باج‌افزار به دلیل خطر معرفی نقص که می‌تواند به شهرتشان آسیب برساند، اغلب به‌روزرسانی‌های عمده‌ای روی رمزگذارهایشان انجام نمی‌دهند. نکته قابل توجه این است که ابزار اختصاصی توسعه‌یافته توسط اپراتورهای RansomHub در حملات باج‌افزاری مرتبط با Medusa، BianLian و Play نیز استفاده می‌شود، در حالی که Play و BianLian تحت مدل RaaS بسته عمل می‌کنند. ESET نظریه می‌دهد که اعضای مورد اعتماد این گروه‌ها با رقبا همکاری کرده و ابزارهای دریافتی را در حملات خود بازاستفاده می‌کنند، که این امر به‌ویژه جالب است زیرا چنین باندهای بسته‌ای معمولاً از مجموعه ثابتی از ابزارهای اصلی استفاده می‌کنند.