#byovd — Public Fediverse posts

The Gentlemen ransomware, run by GOLD SHERWOOD, encrypts networks in under 24 hours. See the affiliate playbook and how to defend against it.

#TheGentlemen #Ransomware #GOLDSHERWOOD #GentleKiller #BYOVD #RaaS #DataExfiltration #Infosec

http://securityonline.info/the-gentlemen-ransomware/?utm_source=mastodon&utm_medium=jetpack_social

A Cambodia malware campaign hides SparkRAT in PNG files and abuses a vulnerable driver to kill antivirus, Acronis TRU reports.

#SparkRAT #BYOVD #Cambodia #Malware #CyberEspionage #SilverFox

http://securityonline.info/cambodia-malware-campaign-sparkrat/?utm_source=mastodon&utm_medium=jetpack_social

eSentire ties the Cruciferra malware loader to ClickFix EDR killer attacks that abuse a signed driver to stop 145 security processes.

#Cruciferra #ClickFix #EDRKiller #Malware #BYOVD #Cybersecurity

http://securityonline.info/cruciferra-malware-loader-clickfix-edr-killer/?utm_source=mastodon&utm_medium=jetpack_social

Cruciferra: il crypter da 2.000 dollari al mese che uccide gli EDR e fa sparire il malware dal disco

https://insicurezzadigitale.com/cruciferra-il-crypter-da-2-000-dollari-al-mese-che-uccide-gli-edr-e-fa-sparire-il-malware-dal-disco/

GentleKiller Framework: How Gentlemen Ransomware Disables Victims’ Security Software - https://www.redpacketsecurity.com/gentlekiller-framework-disables-victims-security-software/

#threatintel #EDR_killers #ransomware #BYOVD

Ransomware Gang Disables Security Software with GentleKiller Framework

Meet GentleKiller, a sneaky framework that helps ransomware gangs disable security software by targeting over 400 processes across 48 security products at the kernel level, allowing them to run unchecked. This sinister tool uses a "bring your own vulnerable driver" technique to terminate protections and clear the way for…

https://osintsights.com/ransomware-gang-disables-security-software-with-gentlekiller-framework?utm_source=mastodon&utm_medium=social

#Ransomware #Gentlekiller #Byovd #EndpointDetectionAndResponse #EdrKiller

BYOVD-атаки на ядро Windows через драйверы: разбираю механику, воспроизвожу, строю защиту

Вы настроили Sysmon, у вас работает EDR, события летят в SIEM. Создаётся процесс, вы видите Event ID 1. Загружается DLL, Event ID 7. Всё под контролем. А теперь кто-то загружает в систему один .sys-файл. Обычный, подписанный, из прошлого века. И события пропадают. Не потому что Sysmon упал или EDR отключили. Они работают. Просто ядро Windows больше не считает нужным им что-то рассказывать. Я залез внутрь, чтобы понять, как это устроено. Поднял WinDbg, подключился к ядру, нашёл структуры, где хранятся callback'и мониторинга. Обнулил их, повторив технику руткита Lazarus. Sysmon на месте, PID живой, но лог пустой. Меня зовут Роман Мгоев, я специалист по анализу киберугроз в Альфа-Банке, в статье пройду этот путь целиком: начиная с архитектуры колец защиты Windows, byte-патчей в памяти ядра и разбора FudModule от Lazarus обеих версий, до свежих техник zerosalarium и разбора публичных тулкитов, а в конце поделюсь семью направлениями детектирования с готовыми правилами для SIEM. Отдельный блок — про аудит драйверов, которых ещё нет ни в одной базе.

https://habr.com/ru/companies/alfa/articles/1011302/

#BYOVD #EDR #Windows_kernel #Sysmon #SIEM #Lazarus #ransomware #reverse_engineering #SOC #detection_engineering

10 популярных техник обхода EDR

Алексей Баландин, Security Vision На сегодняшний день невозможно представить защиту конечных точек без системы EDR, которая, в отличие от устаревшего антивируса, основана в первую очередь на поведенческом анализе происходящих в системе событий. Потребность в этой системе резко возросла за последние 10 лет в связи с тем, что угрозы совершенствуются из года в год. Давно стало очевидно, что эффективно противостоять атакующим можно не столько за счет статического анализа кода, сигнатурного метода, сколько за счет изучения, анализа и блокировки их поведенческих паттернов, используемых тактик, техник и процедур. Этим и занимается класс продуктов EDR и активно развивается за счет постоянного пополнения базы знаний о новых методах атак. Обратной стороной медали является то, что атакующие не стоят на месте и разрабатывают все новые способы обхода и противодействия EDR. Далее рассмотрим техники обхода EDR, которые были наиболее популярны у атакующих за последние 5 лет.

https://habr.com/ru/companies/securityvison/articles/973172/

#edr #byovd #lolbas #обход_защиты #обход_антивируса

[Перевод] Техники обхода систем обнаружения: маскировка путей и BYOVD

Вакансии по пентесту всё чаще требуют не только понимания принципов работы ключевых СЗИ (WAF, EDR, NAC), но и практических навыков их обхода. То же самое касается EDR/AV. В реальных отчётах о кибератаках также регулярно упоминается, как злоумышленники обходят средства защиты и остаются незамеченными. Предлагаем рассмотреть пару приемов таких обходов и проверить, готовы ли ваши системы защиты к подобным вызовам.

https://habr.com/ru/companies/cloud4y/articles/962456/

#информационная_безопасность #edr #системы_защиты #мониторинг #маскировка_путей #byovd #символические_ссылки

State of ransomware in 2025 – Source: securelist.com https://ciso2ciso.com/state-of-ransomware-in-2025-source-securelist-com/ #rssfeedpostgeneratorecho #APT(Targetedattacks) #Crossplatformmalware #CyberSecurityNews #MalwareStatistics #Financialthreats #MicrosoftWindows #Targetedattacks #DataEncryption #securelistcom #Publications #ransomware #Lockbit #BYOVD #RaaS #APT #LLM #AI

An APT group exploited ESET flaw to execute malware – Source: securityaffairs.com https://ciso2ciso.com/an-apt-group-exploited-eset-flaw-to-execute-malware-source-securityaffairs-com/ #rssfeedpostgeneratorecho #informationsecuritynews #ITInformationSecurity #SecurityAffairscom #CyberSecurityNews #PierluigiPaganini #SecurityAffairs #SecurityAffairs #BreakingNews #SecurityNews #hackingnews #ToddyCatAPT #Security #hacking #BYOVD #eset #APT

How ToddyCat tried to hide behind AV software – Source: securelist.com https://ciso2ciso.com/how-toddycat-tried-to-hide-behind-av-software-source-securelist-com/ #Vulnerabilitiesandexploits #AntivirusVulnerabilities #rssfeedpostgeneratorecho #zerodayvulnerabilities #APT(Targetedattacks) #MalwareDescriptions #MalwareTechnologies #CyberSecurityNews #Defenseevasion #Windowsmalware #securelistcom #Encryption #Incidents #ToddyCat #Drivers #Malware #Trojan #BYOVD #APT #CVE #DLL

Canon Printer Drivers Flaw Could Let Hackers Run Malicious Code – Source:hackread.com https://ciso2ciso.com/canon-printer-drivers-flaw-could-let-hackers-run-malicious-code-sourcehackread-com/ #1CyberSecurityNewsPost #CyberSecurityNews #cybersecurity #Vulnerability #Microsoft #Hackread #security #Printer #BYOVD #Canon #IoT

Canon Printer Drivers Flaw Could Let Hackers Run Malicious Code https://hackread.com/canon-printer-drivers-flaw-hackers-run-malicious-code/ #Cybersecurity #Vulnerability #Microsoft #Security #Printer #BYOVD #Canon #IoT

Checkpoint ZoneAlarm Driver Flaw Exposes Users to Credential Theft – Source:hackread.com https://ciso2ciso.com/checkpoint-zonealarm-driver-flaw-exposes-users-to-credential-theft-sourcehackread-com/ #1CyberSecurityNewsPost #CyberSecurityNews #cybersecurity #Vulnerability #0CISO2CISO #CheckPoint #ZoneAlarm #Hackread #security #Windows #BYOVD

Checkpoint ZoneAlarm Driver Flaw Exposes Users to Credential Theft https://hackread.com/checkpoint-zonealarm-driver-flaw-user-credential-theft/ #Cybersecurity #Vulnerability #CheckPoint #ZoneAlarm #Security #Windows #BYOVD

#BYOVD Attack: Researchers found a flaw in Checkpoint’s ZoneAlarm antivirus driver that could let attackers bypass Windows security and steal data.

Read: https://hackread.com/checkpoint-zonealarm-driver-flaw-user-credential-theft/

#CyberSecurity #ZoneAlarm #Checkpoint #AntiVirus

Vulnerable Paragon Driver Exploited in Ransomware Attacks – Source: www.securityweek.com https://ciso2ciso.com/vulnerable-paragon-driver-exploited-in-ransomware-attacks-source-www-securityweek-com/ #rssfeedpostgeneratorecho #privilegeescalation #CyberSecurityNews #vulnerabilities #securityweekcom #securityweek #ransomware #driver #BYOVD

BYOVD Attacks in Paragon Partition Manager: Zero-Day Exploited Revealed - https://www.redpacketsecurity.com/byovd-attacks-exploit-zero-day-in-paragon-partition-manager/

#threatintel #BYOVD #ransomware #vulnerabilities

BYOVD Attacks Exploit Zero-Day in Paragon Partition Manager – Source: www.infosecurity-magazine.com https://ciso2ciso.com/byovd-attacks-exploit-zero-day-in-paragon-partition-manager-source-www-infosecurity-magazine-com/ #rssfeedpostgeneratorecho #InfoSecurityMagazine #InfosecurityMagazine #CyberSecurityNews #BYOVD

Vulnerable Paragon Driver Exploited in Ransomware Attacks https://www.securityweek.com/vulnerable-paragon-driver-exploited-in-ransomware-attacks/ #privilegeescalation #Vulnerabilities #ransomware #driver #BYOVD

Vulnerable Paragon Driver Exploited in Ransomware Attacks https://www.securityweek.com/vulnerable-paragon-driver-exploited-in-ransomware-attacks/ #privilegeescalation #Vulnerabilities #ransomware #driver #BYOVD

#BYOVD attacks are slowly becoming more common for threat actors to escalate privilege and kill security tools.
Make sure you're #ThreatHunting for new Vulnerable Drivers!
Win 11 now has a Vulnerable Driver Blocklist feature, however, it's only updated in major updates so you still need to monitor for recently discovered Vulnerable Drivers.

Recent Vuln Driver: https://www.bleepingcomputer.com/news/security/ransomware-gangs-exploit-paragon-partition-manager-bug-in-byovd-attacks/

Known Vuln Drivers: https://www.loldrivers.io/

Vuln Driver Blocklist: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/app-control-for-business/design/microsoft-recommended-driver-block-rules

#IncidentResponse #ransomware #ThreatDetection

Ransomware gangs exploit a Paragon Partition Manager BioNTdrv.sys driver zero-day – Source: securityaffairs.com https://ciso2ciso.com/ransomware-gangs-exploit-a-paragon-partition-manager-biontdrv-sys-driver-zero-day-source-securityaffairs-com/ #rssfeedpostgeneratorecho #informationsecuritynews #ITInformationSecurity #SecurityAffairscom #CyberSecurityNews #PierluigiPaganini #SecurityAffairs #SecurityAffairs #BreakingNews #SecurityNews #hackingnews #CyberCrime #Cybercrime #hacking #Malware #BYOVD

Malware campaign abused flawed Avast Anti-Rootkit driver – Source: securityaffairs.com https://ciso2ciso.com/malware-campaign-abused-flawed-avast-anti-rootkit-driver-source-securityaffairs-com/ #MalwarecampaignabusedflawedAvastAntiRootkitdriver #rssfeedpostgeneratorecho #informationsecuritynews #ITInformationSecurity #SecurityAffairscom #CyberSecurityNews #PierluigiPaganini #SecurityAffairs #SecurityAffairs #BreakingNews #SecurityNews #hackingnews #CyberCrime #hacking #Malware #BYOVD

Another week, another newsletter - catch up on the week's infosec news here:

https://opalsec.substack.com/p/soc-goulash-weekend-wrap-up-240423-300423

Researchers have found that nearly two years on, 2 in 3 installs of #Apache #Superset are still using default Flask Secret Keys - a configuration flaw which would allow an attacker to forge session cookies and access said servers with full administrative privileges.

#Kritec is a commodity #skimmer found installed on compromised #Magecart sites, with its code heavily obfuscated and customised to match the site's aesthetic in order to con users out of credit card details.

#FIN7 look to be popping instances of the #Veeam backup software that are unpatched for a recent vulnerability; a revised #ViperSoftX #infostealer now targets #1password and #keepass password vaults, and #TA505 deliver a new infostealer through a #GoogleAds campaign

#LockBit & #CL0P ransomware affiliates have been abusing a month-old vulnerability in the #PaperCut print management software to drop ransomware. With the cat out of the bag, security researchers have decided now is a great time to drop a PoC exploit on Github - I mean, why not let the skiddies get in on the action too, right?

The #blueteam have some great research worth reading on #Smishing via #AWS; detections for #SliverC2 and different implementations of #PsExec, as well as #Sigma integration for #SentinelOne and a #KQL hack for monitoring LOLDrivers.

Have a great week ahead folks, I hope this newsletter proves helpful!

https://opalsec.substack.com/p/soc-goulash-weekend-wrap-up-240423-300423

#infosec #cyber #news #newsletter #cybernews #infosec #infosecnews #informationsecurity #cybersecurity #hacking #security #technology #hacker #vulnerability #vulnerabilities #malware #ransomware #affiliate #dfir #soc #threatintel #threatintelligence #threathunting #detection #threatdetection #detectionengineering #flask #python #fraud #malvertising #clop #PoC #exploit #securityresearch #LOLBAS #LOLBIN #BYOVD