Avast 杀软内置驱动被黑客利用发动攻击

11 月 26 日消息,安全公司 Trellix 发文,称有黑客借用 Avast 杀软内置的组件作为跳板,以此终止受害者设备中防火墙、EDR 端点安全防护进程,从而控制受害者设备。

Avast 杀软内置驱动被黑客利用发动攻击插图

据介绍,相关黑客使用名为 kill-floor.exe 的恶意程序,首先在受害者计算机上部署 Avast 杀软的 Anti-Rootkit 驱动程序组件 aswArPot.sys,然后投放另一个合法的内核驱动程序,命名为 ntfs.bin。

在完成驱动程序部署后,恶意软件利用系统工具 sc.exe 创建名为 aswArPot.sys 的服务,将 ntfs.bin 注册到系统中。随后 kill-floor.exe 便会扫描受害者计算机上的进程列表,通过调用 DeviceIoControl API 并发送特定的 IOCTL 代码终止受害者设备防火墙、EDR 端点安全防护进程。

安全公司表示,黑客这种攻击手法主要借用了合法的安全软件组件,因此能够绕过传统的安全防护措施,给安全防护带来了新的挑战。

给TA打赏
共{{data.count}}人
人已打赏
0 条回复 A文章作者 M管理员
    暂无讨论,说说你的看法吧
在线客服
主机帮
我们将24小时内回复。
2024-12-10 05:11:32
您好,有任何疑问请与我们联系!
您的工单我们已经收到,我们将会尽快跟您联系!
[QQ客服]
176363189
当幸福来敲门
[小黄]
17307799197
[企业邮箱]
sudu@yunjiasu.cc
取消

选择聊天工具: