Pesquisadores da Sophos identificaram uma sofisticada ferramenta para desativar soluções de segurança, utilizada colaborativamente por oito grupos distintos de ransomware, incluindo RansomHub, Blacksuit e Medusa. Esta nova ameaça, considerada uma evolução do conhecido EDRKillShifter, emprega técnicas avançadas de evasão como ofuscação de código e injeção em processos legítimos, além de explorar vulnerabilidades em drivers com certificados digitais comprometidos.
Leia também
ChatGPT derrotado por dev polonês em torneio de coding
Saúde aposta em GenAI sem investir em segurança
O malware opera carregando um driver malicioso no kernel do sistema, fingindo ser componentes legítimos como o CrowdStrike Falcon, para então desativar produtos de segurança de onze fabricantes líderes. Cada variante apresenta pequenas diferenças, mas compartilha a mesma base técnica e método de empacotamento HeartCrypt, indicando desenvolvimento colaborativo entre os grupos criminosos – um fenômeno incomum mesmo no submundo do cibercrime.
Esta descoberta revela uma profissionalização crescente do ecossistema ransomware, onde até grupos concorrentes compartilham tecnologias de evasão. A ferramenta se junta a outras ameaças similares como AuKill e AvNeutralizer, demonstrando a necessidade urgente de defesas mais robustas contra técnicas de desativação de segurança. Organizações devem priorizar a implementação de controles como whitelisting de drivers e monitoramento comportamental de processos privilegiados, enquanto os IOCs completos estão disponíveis para consulta no GitHub da Sophos. O caso serve como alerta para a sofisticação crescente das ameaças à segurança endpoint.
