AuKill

[varwar]

‘AuKill’ EDR killer malware abuses Process Explorer driver

Driver-based attacks against security products are on the rise

news.sophos.com

Кек.

For example, the driver can receive the IO control code IOCTL_CLOSE_HANDLE from user-mode applications, which commands the driver to close a protected process handle, resulting in terminating a process.

The tool was used during at least three ransomware incidents since the beginning of 2023 to sabotage the target’s protection and deploy the ransomware: In January and February, attackers deployed Medusa Locker ransomware after using the tool; in February, an attacker used AuKill just prior to deploying Lockbit ransomware.

 

[yellow]

which commands the driver to close a protected process handle, resulting in terminating a process.

...тот гад из софоса писал это явно без уважения.

...если бы он знал сколько боли, слез и безсоных ночей проведенных в разговорах с дебагером нужно чтоб, через манипуляции с IO control code процессы закрывать - да еще и так чтоб они после не переродились как блядский феникс, он бы проявил хотя бы капельку уважения, вот же гандон, это я ему припомню.

...некст тайм вырезая вонючий софос на корню, бонусом сотру к хуям на каждом хосте MBR и еще и биос обновлю местами, так чтоб они получили кучу бесполездного железа.

 

[deniska]

так мелкомягкие же драйвер процесс эксплорера в беклист добавили, не? https://learn.microsoft.com/en-us/w...trol/microsoft-recommended-driver-block-rules

 

[yellow]

так мелкомягкие же

Это мягко говоря не самые распространеные ОСи у энтерпрайза.

 

[varwar]

Я, мягко говоря, прихуел с этого

И на тот момент он еще не был в блеклисте, просто дабл кек.

 

[varwar]

...тот гад из софоса писал это явно без уважения.

...если бы он знал сколько боли, слез и безсоных ночей проведенных в разговорах с дебагером нужно чтоб, через манипуляции с IO control code процессы закрывать - да еще и так чтоб они после не переродились как блядский феникс, он бы проявил хотя бы капельку уважения, вот же гандон, это я ему припомню.

...некст тайм вырезая вонючий софос на корню, бонусом сотру к хуям на каждом хосте MBR и еще и биос обновлю местами, так чтоб они получили кучу бесполездного железа.

Уже сделал куклу вуду с ним?

 

[deniska]

так тулза еще 2 года назад написана https://github.com/Yaxser/Backstab

 

[achillesec]

так тулза еще 2 года назад написана https://github.com/Yaxser/Backstab

Backstab is to old to get used in real Operation this days

 

[yellow]

Уже сделал куклу вуду с ним?

я придумал идею по лучше, оставлю его контакты на самом видном месте