Ein neues Risiko für Endpunkt-Schutz: Innovative EDR-Killer-Tools setzen Sicherheitslösungen außer Kraft

Überblick: Eine neue Bedrohung für Endpunktsicherheit

IT-Sicherheitsforscher haben eine bislang unbekannte Untergrund-Werkzeug entdeckt, das es Angreifern ermöglicht, Erkennungs- und Abwehrmechanismen von Endpunktlösungen (EDR) und Antivirenprogrammen bereits vor dem Ausführen von Ransomware effektiv auszuschalten. Wie eine aktuelle Untersuchung von Sophos zeigt, bedienen sich verschiedene Ransomware-Gruppen bereits dieses neuen, leistungsstarken EDR-Killers, um Schutzmechanismen bekannter Hersteller wie Sophos, Bitdefender und Kaspersky zu deaktivieren. Diese Entwicklung markiert einen besorgniserregenden Fortschritt bei Schadsoftware, die gezielt auf das Umgehen von Antivirenlösungen und Privilegienausweitung abzielt.

Funktionsweise des EDR-Killers

Paketierung und Verschleierung

Die Malware wird häufig mithilfe von Verschleierungsdiensten wie HeartCrypt verpackt, um signaturbasierte Erkennung sowie automatisierte Analysen zu unterlaufen. Die Angreifer setzen zudem auf verschiedene Anti-Analyse-Methoden und missbrauchen teils sogar signierte Treiber – darunter gestohlene oder kompromittierte – zur Erlangung vertrauenswürdiger Ausführung auf Windows-Systemen.

Living-off-the-Land-Techniken und Manipulation ausführbarer Dateien

Sicherheitsforscher beobachten zunehmend, dass Angreifer nicht mehr nur verwundbare Treiber einschleusen, sondern direkt vertrauenswürdige Programme verändern. In einem Fall wurde ein Schadcode in das Clipboard Compare-Tool von Beyond Compare injiziert, wodurch eine ansonsten legitime Anwendung mit schädlichen Ressourcen versehen wurde. Mit diesem Vorgehen schaffen es Angreifer, vermeintlich authentische Installationsdateien oder Tools zu bauen, die oberflächlichen Prüfungen standhalten.

Funktionen, Vergleiche und Vorteile des neuen Werkzeugs

• Multivendor-Beeinflussung: Anders als Vorgänger wie EDRKillShifter attackiert das neue Tool zahlreiche hochwertige EDR- und Antivirus-Plattformen gleichzeitig, was es für unterschiedliche Ransomware-Gruppen attraktiv macht.
• Verbesserte Tarnung: Die Kombination aus Verschleierung, Code-Obfuskation und dem Gebrauch signierter Komponenten verschafft dieser Generation operationelle Vorteile gegenüber älteren Techniken.
• Wiederverwendbarkeit: Das Tool zirkuliert innerhalb krimineller Foren, was die rasche Weiterentwicklung und Akzeptanz unter Cyberkriminellen fördert.

Im Gegensatz zum ersten EDRKillShifter (entdeckt Mitte 2024) verzichtet die neueste Variante weitgehend auf verwundbare Treiber und modifiziert stattdessen als vertrauenswürdig geltende Programme. Damit wird die Erkennung und Zuordnung für Verteidiger deutlich erschwert.

Einsatzszenarien und Bedeutung für den Markt

Primär findet dieses Tool in frühen Phasen von Ransomware-Angriffen Verwendung: etwa beim initialen Zugriff, der Privilegienausweitung oder beim Deaktivieren von Sicherheitsfunktionen. Besonders Unternehmen aus kritischen Infrastrukturen, Gesundheitswesen, Finanzsektor und IT-Dienstleister laufen Gefahr, da hier für Angreifer hohes Gewinnpotenzial besteht. Für Sicherheitsanbieter und Incident-Responder unterstreicht das Aufkommen solcher EDR-Killer den wachsenden Bedarf an fortschrittlicher Bedrohungs-Intelligenz, Laufzeitschutz und verhaltensbasierter Erkennung.

Abwehrmaßnahmen: Handfeste Schutzstrategien für Teams

• Aktivieren Sie Manipulationsschutz: Vergewissern Sie sich, dass Ihre Endpunktschutz-Produkte über einen aktiven Manipulationsschutz oder Selbstverteidigungsmechanismen verfügen, damit keine lokalen Änderungen vorgenommen werden können.
• Prinzip der minimalen Rechtevergabe und sichere Windows-Rollen durchsetzen: Gute Konten-Hygiene und die Reduktion von Administrationsrechten verringern das Risiko einer Rechteausweitung durch Angreifer.
• Systeme und Treiber aktuell halten: Microsoft zieht zunehmend alte signierte Treiber zurück. Durch regelmäßige Updates und Ausmusterung veralteter Komponenten lässt sich deren Missbrauch verhindern.
• Auf Auffälligkeiten bei der Modifikation ausführbarer Dateien und bei Code-Signaturen achten: Verhaltensorientierte EDR, Überwachung der Treiberintegrität und Dateiintegritätsprüfungen helfen, Manipulation zu erkennen.

Fazit

Das Auftauchen eines potenteren EDR-Killers zeigt eine verstärkte Zusammenarbeit von Ransomware-Gruppen und die bewusste Zweckentfremdung legitimer Werkzeuge. Unternehmen sollten ihre Endpunkt-Konfigurationen härten, eine konsequente Rechteverwaltung durchsetzen und gezielt in verhaltensbasierte Bedrohungserkennung investieren, um Bedrohungen, die Antiviren-Lösungen umgehen, einen Schritt voraus zu sein.