RansomHub最新勒索软件“浮出水面”，可篡改EDR软件
内容提要
网络安全公司Sophos发现RansomHub勒索软件团伙使用新工具EDRKillShifter终止受攻击主机上的端点检测和响应软件。研究人员建议保持系统最新状态，启用EDR软件中的篡改保护功能，采取严格措施保护Windows安全角色。
延伸解读
EDRKillShifter 的 BYOVD 攻击机制
EDRKillShifter 是一种“加载器”可执行文件，属于自带易受攻击驱动程序（BYOVD）工具。它通过命令行和密码字符串执行，解密嵌入式 BIN 资源并在内存中运行基于 Go 的混淆有效载荷，随后利用合法但易受攻击的驱动程序提升权限并终止 EDR 软件。这种设计使其能灵活提供不同的驱动程序有效载荷，增加了检测和防御的难度。
RansomHub 的演变与攻击手法
RansomHub 被视为 Knight 勒索软件的改良版，自 2024 年 2 月出现。它利用已知安全漏洞获取初始访问权限，并部署 Atera、Splashtop 等合法远程桌面软件实现持久访问。微软曾披露 Scattered Spider 集团已将其纳入武器库。此次使用 EDRKillShifter 表明该团伙在持续更新工具集，以绕过端点防护。
防御建议与权限管理
Sophos 研究人员建议保持系统最新状态，并启用 EDR 软件中的篡改保护功能，同时对 Windows 安全角色采取严格措施。研究员 Klopsch 指出，此类攻击只有在攻击者提升权限或获得管理员权限后才可能发生。因此，区分用户和管理员权限有助于防止攻击事件。这些措施能提高攻击门槛，但无法完全消除风险。
Q&A
RansomHub勒索软件的主要特征是什么？
RansomHub是Knight勒索软件的改良版，利用已知安全漏洞获取初始访问权限，并丢弃合法远程桌面软件以实现持久访问。
EDRKillShifter工具的功能是什么？
EDRKillShifter工具能够终止受攻击主机上的端点检测和响应（EDR）软件，易于被滥用。
如何防止RansomHub勒索软件的攻击？
研究人员建议保持系统更新，启用EDR软件中的篡改保护功能，并严格区分用户和管理员权限。
RansomHub勒索软件的作者可能来自哪个语言环境？
RansomHub的恶意软件语言属性为俄语，表明作者可能在俄语环境下编译。
EDRKillShifter是如何执行的？
EDRKillShifter通过命令行和密码字符串输入执行，解密并运行基于Go的有效载荷。
RansomHub如何获取初始访问权限？
RansomHub利用已知的安全漏洞获取初始访问权限。
