GHOSTENGINE利用弱势驱动在加密劫持攻击中禁用EDR

网络安全研究人员发现了一种新的加密劫持活动，该活动利用易受攻击的驱动程序来禁用已知安全解决方案（EDR），并阻止所谓的“自带漏洞驱动程序”（BYOVD）攻击的检测。

弹性安全实验室正在以REF4578的名义跟踪该活动，并将主要有效载荷作为GHOSTENGINE。中国网络安全公司Antiy Labs之前的研究将该活动代号为HIDDEN SHOVEL。

弹性研究人员Salim Bitam、Samir Bousseaden、Terrance DeJesus和Andrew Pease说，GHOSTENGINE利用脆弱的驱动程序来终止和删除已知的EDR代理，这些代理可能会干扰部署的知名硬币矿工。

这项活动涉及不寻常的复杂性，以确保XMRig矿工的安装和持久性。

这一切都从一个可执行文件（“Tiworker.exe”）开始，该文件用于运行PowerShell脚本，该脚本检索一个混淆的PowerShell脚本，该脚本伪装成PNG图像（“get.png”），以从命令和控制（C2）服务器获取额外的有效负载。

这些模块——aswArPot.sys、IObitUnlockers.sys、curl.exe、smartsscreen.exe、oci.dll、backup.png和kill.png——在从配置的C2服务器或备份服务器通过HTTP下载它们后，在受感染的主机上启动，以防域不可用。它还包含基于FTP的回退机制。

此外，恶意软件试图禁用Microsoft Defender Antivirus，清除几个Windows事件日志通道，并确保C:\卷至少有10 MB的可用空间来下载文件，然后将其藏在C:\Windows\Fonts文件夹中。

研究人员说，如果没有，它将尝试从系统中删除大文件，然后再寻找另一个具有足够空间的合适卷，并在$RECYCLE.BIN\Fonts下创建一个文件夹。

PowerShell脚本还旨在在系统上创建三个计划任务，每20分钟运行一个恶意DLL，每小时通过批处理脚本启动自己，每40分钟执行smartsscreen.exe。

攻击链的核心有效载荷是smartsscreen.exe（又名GHOSTENGINE），其主要目的是使用易受攻击的Avast驱动程序（“aswArPot.sys”）停用安全进程，完成初始感染并执行矿工。

然后，通过IObit（“iobitunlockers.sys”）的另一个易受攻击的驱动程序删除安全代理二进制文件，然后从C2服务器下载XMRig客户端挖掘程序并执行。

DLL文件用于确保恶意软件的持久性，并通过获取get.png脚本并执行它从C2服务器下载更新，而“backup.png”Powershell脚本则用作后门，以便在系统上执行远程命令。

在被解释为冗余措施中，PowerShell脚本“kill.png”具有与smartsscreen.exe类似的功能，通过将可执行文件注入并加载到内存中来删除安全代理二进制文件。

开发之时，Uptycs威胁研究团队发现了自2024年1月以来大规模的持续操作，该操作利用Log4j日志记录实用程序（例如CVE-2021-44228）中的已知缺陷，将XMRig矿工交付到目标主机上。

安全研究员Shilpesh Trivedi说，在损害受害者机器后，它启动了与URL的联系，以获取用于部署XMRig矿工的shell脚本，或者，在特定情况下，它传播了Mirai或Gafgyt恶意软件。

大多数受影响的服务器位于中国，其次是香港、荷兰、日本、美国、德国、南非和瑞典。