Хакери са успели да заобикалят защитата на Microsoft Defender, за да изтеглят рансъмуер на компютри с Windows

Компанията за информационна сигурност GuidePoint Security издаде предупреждение, в което се посочва, че хакерите са се научили как да заобикалят защитата на Microsoft Defender, за да инсталират и разгърнат рансъмуера Akira. За целта те използват уязвимост в един от легитимните драйвери.

Въпросният драйвер е rwdrv.sys, който се използва от обслужващата програма ThrottleStop за конфигуриране на процесори на Intel.

Използването на уязвимостта на драйвера позволява достъп до операционната система Windows на ниво ядро, след което нападателите зареждат в системата зловредния драйвер hlpdv.sys, който променя регистъра на Windows и деактивира защитните функции на Microsoft Defender. След като защитите са деактивирани, единственото, което нападателите трябва да направят, е да изтеглят рансъмуера Akira на компютъра на жертвата.

Според GuidePoint хакерите използват този двустепенен подход за разпространение на рансъмуер поне от юли тази година. За да защитят надеждно своите компютри, на потребителите се препоръчва да използват надеждни антивирусни продукти и да не разчитат само на Microsoft Defender. Освен това редовното инсталиране на пачове за сигурност, при които разработчиците отстраняват уязвимости в софтуера, установени по време на експлоатацията ще помогне за засилване на защитата.