A empresa de segurança GuidePoint Security emitiu um alerta de que hackers aprenderam a contornar a proteção do Microsoft Defender para instalar e implantar o ransomware Akira. Para isso, eles exploram uma vulnerabilidade em um dos drivers legítimos.
Fonte da imagem: Towfiqu barbhuiya / Unsplash
Estamos falando do driver rwdrv.sys, usado pelo utilitário ThrottleStop para configurar processadores Intel. A exploração da vulnerabilidade do driver permite o acesso ao sistema operacional Windows no nível do kernel, após o qual os invasores carregam o driver malicioso hlpdv.sys no sistema, o que altera o registro do Windows e desativa as funções de proteção do Microsoft Defender. Quando a proteção é desativada, os invasores só precisam instalar o ransomware Akira no PC da vítima.
Segundo a GuidePoint, hackers têm usado essa abordagem em duas etapas para distribuir ransomware desde pelo menos julho deste ano. Para garantir a proteção de seus PCs, recomenda-se que os usuários utilizem produtos antivírus confiáveis, não dependendo apenas do Microsoft Defender. Além disso, a instalação regular de patches de segurança, nos quais os desenvolvedores corrigem vulnerabilidades de software descobertas durante a exploração, ajudará a fortalecer a proteção.