Snatch: ransomware herstart je pc in de Veilige Modus om antivirus te omzeilen

Updates up-to-date, een minimale beveiligingsoplossing, en veel voorzichtigheid met onze klikken en downloads. Dat zijn de algemene (en meest voorkomende) aanbevelingen om onze apparaten te beschermen... maar we weten dat ze niet perfect zijn. Malware past zich aan, en de ontwikkelaars worden slimmer. Snatch is daar een sprekend voorbeeld van. In plaats van tijd en middelen te verspillen aan het doorbreken van de huidige antimalware, ontsnapt deze ransomware eraan door te werken onder de Veilige Modus van Windows zonder tegenstand.

Malware heeft zich in vrijwel elk beschikbaar formaat weten te verstoppen. E-mails, documenten, Excel-sjablonen, games. Het infecteerde specifieke extensies, opstartpartities en zelfs firmware. De laatste tijd heeft het concept van ransomware flink terrein gewonnen, als gevolg van zeer agressieve campagnes die bedrijven, overheidsinstanties en publieke gezondheidszorgsystemen schaadden. Logischerwijs reageerden de belangrijkste beveiligingsoplossingen op deze dreiging, maar het verhaal is nog lang niet afgelopen.

Het probleem (als we het zo mogen noemen) is dat verreweg de meeste van deze oplossingen werken in een gewone Windows-omgeving, met alle onderdelen geladen. Als we in de Veilige Modus gaan (lees: 'veilige modus'), worden ze niet geactiveerd. Met andere woorden, de Veilige Modus biedt een volledig onbeschermde ruimte... en dat is waar Snatch gebruik van maakt.

De mensen van Sophos (die de afgelopen weken een ransomware-campagne onderzochten) deelden een uitstekende demonstratie van Snatch in actie. De eerste stap is het forceren van een herstart van de computer in de Veilige Modus met behulp van het commando 'shutdown', en daarna wordt het opnieuw geladen in die modus alsof het een Windows-service is (dankzij een keten in het register). De bestanden van de gebruiker worden tijdens het opnieuw opstarten effectief versleuteld, en de rest is een kwestie van het vragen van het klassieke losgeld ervoor.

Natuurlijk hangt alles af van hoe de payload van Snatch op de computer terechtkomt, maar zodra dat gebeurt en het zich kan uitvoeren... game over. De verantwoordelijken van deze ransomware besloten niet op kleine vissen te vissen, maar gaven er de voorkeur aan op haaien te jagen, dat wil zeggen: hun inspanningen concentreren op grote bedrijven en overheidsinstanties. Dat weerhoudt andere kwaadwillende ontwikkelaars er echter niet van om de truc van de Veilige Modus over te nemen en toe te passen in hun creaties.

Nu beperken de meesterbreinen achter Snatch zich niet tot het versleutelen van gegevens. Het team van Sophos ontdekte een duidelijke interesse in het toevoegen van nieuwe leden met bevoorrechte toegang tot bedrijfsnetwerken, winkels en andere bedrijven. In wezen hebben ze er geen probleem mee om te betalen voor toegang tot een netwerk dat al is gehackt, of om de krachten te bundelen met andere elementen.

Tegelijkertijd heeft Sophos bewijs van gestolen gegevens door die groep. Een bedrijf dat in het vizier van Snatch ligt, loopt niet alleen het risico om te eindigen met versleutelde en gegijzelde bestanden. Er bestaat ook de mogelijkheid dat ze op de zwarte markt worden verkocht.

Bron: Sophos