Uusi BYOVD (tuo oma haavoittuva kuljettaja) hyökkäys hyödyntää laillista, allekirjoitettua kuljettajaa, joka sisältää haavoittuvuuden. Tämän avulla hyökkääjät voivat saavuttaa ytimen tason koodin suorittamisen, ohittaa Microsoft Defenderin ja asentaa ransomware. Vältä uhrin putoamisen, noudata tämän oppaan suojatoimenpiteitä.
Sisällysluettelo
- Kuinka BYOVD -hyökkäys kiertää Microsoftin puolustajien suojaa
- Ota Windowsin suojausominaisuudet käyttöön
- Ydinasennuksen poistaminen, jos ne eivät ole välttämättömiä
- Käytä vakiotiliä päivittäiseen käyttöön
- Käytä erilaista virustorjuntaohjelmistoa
Kuinka BYOVD -hyökkäys kiertää Microsoftin puolustajien suojaa
Tämä BYOVD-hyökkäys hyödyntää RWDRV.SYS-kuljettajaa ytimen tason pääsyn saamiseksi ja ottaa sitten haitalliset HLPDRV.SYS-ohjaimet pois Microsoft Defender -kilpien poistamiseksi rekisteristä. RWDRV.SYS -ohjain asennetaan ja käytetään yleensä optimointisovellukset, kuten throttlestop tai jotkut tuulettimen ohjaussovellukset. Se on laillinen kuljettaja, mutta sitä voidaan hyödyntää ytimen tason pääsyn saamiseksi. Näin hyökkäys toimii:
- Hakkerit pääsevät tietokoneeseen. Yleensä vaarantamalla verkko, mutta se voidaan tehdä myös etäkäyttörekoijalaisilla (rotta).
- He asentavat RWDRV.SYS -ohjaimen, jonka Windows luottaa oletuksena.
- RWDRV.SYS -ohjaimen avulla he saavat ytimen etuoikeudet haitallisen hlpdrv.sys -ohjaimen asentamiseen.
- Hlpdrv.sys muokkaa Windows Registry -arvoja Microsoft Defender Shieldsin poistamiseksi käytöstä.
- Suojaa poistettuna hyökkääjä asentaa ransomware -ohjelmat tai suorittaa muita haitallisia työkaluja.
Toistaiseksi Akira -lunastusohjelma liittyy näihin hyökkäyksiin, mutta suojaa alaspäin haitalliset toimijat voivat tehdä mitä haluavat. Seuraa alla olevia suojaustoimenpiteitä pysyäksesi turvassa:
Ota Windowsin suojausominaisuudet käyttöön
On Windows -tietoturvaominaisuuksia, jotka voivat estää tällaisten hyökkäysten tapahtumisen tai jopa suojautuvan, kun Microsoft Defender -suojat ovat alhaalla. Hae “Windows Security” Windows -haussa, avaa Windows Security -sovellus ja ota oletusarvoisesti poistettu käytöstä seuraavat suojausominaisuudet.
- Ohjattu kansioiden käyttö:Tämä ominaisuus on ransomware -suojausominaisuus, joka vastustaa hyökkäyksiä jopa puolustajien suojaan. Mennä jhkVirus- ja uhkien suojaus→Hallitse asetuksia→Hallitse ohjattua kansiotaja ottaa käyttöönOhjattu kansioiden käyttöVaihda. Voit sitten lisätä suojattuja kansioita, jotka vastustavat lunasohjelma -hyökkäyksiä.
- Ydineristysominaisuudet:Ydineristysominaisuudet voivat estää haavoittuvien ohjaimien asentamisen ja haitallisen koodin suorittamisen. Jos kaikki ovat käytössä, se lisää huomattavasti suojausta, ja BYOVD ei ehkä edes tule järjestelmää. Mennä jhkLaitteen turvallisuusja avoinYdineristystiedot. Sinun tulisi ottaa kaikki täällä kaikki ominaisuudet, mutta muistin eheys saattaa edellyttää kuljettajan hallintaa.
Monet ytimen tasolla toimivat apuohjelmatyökalut käyttävät RWDRV.SYS -ohjainta. Jos tämä haavoittuva kuljettaja on jo läsnä, se voi tehdä hakkereiden työstä paljon helpompaa, koska heidän ei tarvitse asentaa omaa kopioaan. Itse asiassa viimeaikaisissa hyökkäyksissä käytettiin jo asennettua ohjainta. Jos se ei ole välttämätöntä, sinun tulee välttää käyttötyökalujen käyttöä, jotka asentavat rwdrv.sys, kuten throttlestop tai rweverything.
Ehdotettu lukeminen:Mikä on mies-in-the-Prompt -hyökkäys ja kuinka suojata itseäsi
Jos haluat vahvistaa, jos sinulla on RWDRV.SYS asennettu, etsi “cmd” Windows-hausta, napsauta hiiren kakkospainikkeellaKomentokehotusja napsautaJärjestelmänvalvojana. Suorita komentowhere /r C: rwdrv.sysja anna sen skannata. Jos RWDRV.SYS -ohjain löytyy, sinun on löydettävä sovellus, joka asensi sen ja poistaa sen.
Käytä vakiotiliä päivittäiseen käyttöön
Paras suojaus suosittelemme aina, että emme käytä järjestelmänvalvojan tiliä ja riippuen vakiotilistä päivittäistä käyttöä varten. BYOVD: tä vastaan tämä on erityisen tärkeää. Tämä hyökkäys riippuu voimakkaasti järjestelmänvalvojan oikeuksista haavoittuvan ohjaimen asentamiseksi tai sen hyödyntämiseksi.
Vakiotilillä hakkerit eivät voi tehdä korotettuja muutoksia tietokoneeseen, joten hyökkäys pysähtyy alusta alkaen. Jos he yrittävät, sinulle ilmoitetaan toiminnasta. Voit luoda uuden vakiotilin avaa WindowsAsetuksetJa mennäTilit→Muut käyttäjät→Lisätä tiliä. Seuraa uuden tilin luomista ja aseta sen ohjeitaStandardi.
Käytä erilaista virustorjuntaohjelmistoa
Tällä hyökkäyksellä on erityisesti ohjeet Microsoft Defender Shieldsin poistamiseksi; Samat ohjeet eivät toimi muissa kolmansien osapuolien virustentorjuntaohjelmistoissa. Kolmansien osapuolen virustorjuntaohjelmat käyttävät erilaisia menetelmiä Shield-on/OFF-toimintojen hallintaan, tällaiset hyökkäykset eivät voi hyödyntää niitä yleisen ohjeen avulla.
Asenna vain ilmainen virustorjuntaohjelma reaaliaikaisella skannauksella pysyäksesi turvassa, kutenAivasttaiAvg Antivirus.
Turvallisuustutkijat (GuidePoint, Kaspersky ja muut) ovat jo seuranneet Akira -lunasohjelmia käyttämällä RWDRV.SYS: ää BYOVD -hyökkäyksissä ja julkaissut KOK: itä. Toivottavasti Microsoft tekee jotain tästä uhasta lähitulevaisuudessa. Olla vain turvallinen, ota kaikki Windows -suojausominaisuudet, erityisesti edistyneitä Microsoft Defender -ominaisuuksia.
