Il ransomware Medusa usa un driver malevolo per bloccare le difese EDR

News Recenti

Il ransomware Medusa usa un driver malevolo per bloccare le difese EDR

Mar 21, 2025 Marina Londei Attacchi, Hacking, In evidenza, Malware, News, RSS, Vulnerabilità 0

I ricercatori di Security Labs di Elastic hanno analizzato le attività di Medusa, un ransomware che utilizza un driver malevolo custom per disabilitare i sistemi di protezione ed eludere i controlli.

Il driver, chiamato dai ricercatori ABYSSWORKER, consente agli attaccanti di disabilitare i sistemi EDR per il controllo degli endpoint e agire indisturbati.

ABYSSWORKER usa una serie di funzioni che ritornano sempre lo stesso risultato a prescindere dall’input. Ripetute continuamente nel codice, queste funzioni complicano l’analisi degli strumenti di protezione. Il driver custom simula un driver legittimo di CrowdStrike Falcon ed è firmato con certificati rubati o revocati di compagnie cinesi. “Questi certificati sono ampiamente conosciuti e condivisi tra diversi malware e campagne, non sono specifici per questo driver“.

Durante l’inizializzazione il driver crea dei puntatori a diversi moduli del kernel e alle feature di protezione; in seguito, quando viene eseguito, viene chiamata una funzione che aggiunge l’ID del processo alla lista dei processi protetti in esecuzione sul dispositivo.

ABYSSWORKER è ora in grado di gestire le richieste I/O indirizzandole verso l’handler corretto. Stando all’analisi di Elastic, il driver è in grado di attivare o disabilitare il ransomware Medusa, copiare file o cancellare file, caricare API, terminare processi e thread, riavviare la macchina e interrompere i thread di sistema.

Tra le capacità più importanti c’è appunto quella di bloccare la protezione EDR. Di fatto, ABYSSWORKER blocca la registrazione alle callback di creazione e avvio dei processi per l’EDR, così che i tool non abbiano visibilità su di essi.

L’uso di driver per eludere le difese non è una tecnica nuova: come riportato da The Hacker News, la notizia di Medusa e ABYSSWORKER arriva subito dopo la scoperta di un driver malevolo associato a ZoneAlarm di Check Point usato per disabilitare le feature di sicurezza di Windows.

Questi attacchi, identificati sotto la categoria “Bring Your Own Vulnerable Driver” (BYOVD), sfruttando le vulnerabilità dei driver per eludere i sistemi di protezione tradizionale, così da massimizzare gli impatti del malware vero e proprio.

Per proteggersi da questi attacchi è innanzitutto indispensabile mantenere aggiornati i propri sistemi operativi e i driver, sostituendo quelli obsoleti. È inoltre consigliato aumentare il livello di privilegi necessari a eseguire driver, implementare tool per la protezione del kernel e utilizzare la tecnica del behavioral monitoring per tracciare l’interruzione dei processi di sicurezza.

Condividi l'articolo

ABYSSWORKER, BYOVD, driver, EDR, Medusa, Ransomware

CERT-AGID 15-21 marzo: le campagne di phishing prendono di mira le università Penetration testing, una volta ogni tanto non basta più: serve un approccio continuativo