Групите за рансъмуер все по-често се опитват да „ослепят“ жертвата, преди да криптират каквото и да било.

Анализът показва, че атакуващите могат да деактивират инструментите за откриване и реагиране на крайни точки (EDR), да прекъснат телеметрията на Windows и да се насочат към услугите за архивиране (backup), за да намалят вероятността защитниците да забележат или локализират навреме проникването.

Констатациите се фокусират върху десет семейства рансъмуер, които най-рядко са били предотвратявани в тестовите данни за 2026 г.

Play има най-нисък резултат за предотвратяване от 13 процента, следван от BlackByte с 25 процента, докато LockBit, BabLock, Magniber, FAUST, Sodinokibi (или REvil), Hive, BlackKingdom и Maori също присъстват в групата.

Анализатори от Picus Security идентифицираха общ модел: операторите на рансъмуер разчитат на методи за прикриване и отслабване на защитата, след като получат първоначален достъп. Тази дейност сама по себе си не е техника за първоначален достъп.

Вместо това тя помага на нападателя да премине от компрометирана машина към широко разпространено криптиране, като същевременно крие инструментите и действията, които обикновено биха предизвикали тревога.

Последиците могат да бъдат тежки. Ако видимостта на крайните точки, записите на събития и операциите по архивиране бъдат прекъснати, екипите по сигурността губят както възможността за ранно предупреждение, така и опциите за възстановяване.

Неотдавнашните доклади за киберпрестъпници, които разширяват тактиките си за неутрализиране на EDR, показват, че усилията за обезвреждане на защитите са станали рутинен етап от съвременните рансъмуер операции.

Picus Security заявява в доклад, споделен с „Cyber Security News“ (CSN), че деактивирането или модифицирането на инструменти е едно от най-често срещаните поведения в техния преглед.

Това включва спиране на услуги за сигурност, архивиране и бази данни, премахване на софтуер за защита и изтриване на регистрационните файлове на събития в Windows (event logs), които биха могли да документират случилото се.

Операторите на рансъмуер деактивират EDR

BabLock илюстрира опасността от тази последователност. Наблюдавано е, че този рансъмуер злоупотребява с легитимен деинсталатор на разработчик, прекратява набор от процеси на антивирусен софтуер, EDR, архивиране и бази данни, след което изтрива регистрационните файлове за събития по сигурността и системата (Security и System event logs).

Този подход може да създаде кратък, но решаващ прозорец, в който криптирането се извършва с по-малко съпротива и по-малко полезни записи за специалистите по реагиране на инциденти.

LockBit 5.0 поема по друг път, като се намесва в Event Tracing for Windows (ETW) – механизъм за телеметрия, на който разчитат продуктите за мониторинг.

Неговата модификация кара ключова функция за записване на събития да се връща без да записва данни, като на практика лишава зависимите инструменти от сигнали за анализ.

Това поведение съвпада с информациите, че LockBit 5.0 се насочва към основни платформи, където са документирани изтриване на регистрационни файлове и функции за защита срещу анализ.

Докладът също така описва техники за скриване и изпълнение на злонамерен код, които правят смущенията по-трудни за засичане. Sodinokibi криптира вградения код до момента на изпълнение, Magniber може да изпълнява код в рамките на друг процес, а Play използва имена и местоположения, които изглеждат легитимни.

BlackByte премахва следите след изпълнение и променя времевите клейма (timestamps), което усложнява разследването, започващо след като файловете вече са били заключени.

Затваряне на пропуските преди криптирането

Практическият извод е, че организациите не трябва да съдят за защитата си само по това дали имат инсталиран продукт за сигурност.

Екипите трябва да тестват дали техните защитни механизми откриват и блокират опити за спиране на услуги, изтриване на регистрационни файлове, промяна на телеметрията на Windows, инжектиране в процеси или изпълнение на код чрез доверени системни програми.

Тестовете трябва да обхващат целия път от подозрителната дейност до известяването и ограничаването на заплахата. Системите за архивиране се нуждаят от същия контрол, тъй като атакуващите разбират тяхната стойност по време на възстановяване.

Отделете администрирането на резервните копия от обикновения достъп до домейна, съхранявайте копията изолирани от производствената мрежа и редовно тествайте възстановяването, като използвате изолирана среда.

Насоките в този списък за сигурност на съхранението и архивирането по подобен начин подчертават описването на активите, воденето на регистрационни файлове, разделянето на достъпа и проверките дали са въведени защити срещу рансъмуер.

Защитниците трябва също така да предпазват записите, необходими за разследване на инцидент.

Централизираното и защитено от подправяне водене на регистрационни файлове може да запази доказателства, когато локален дневник на Windows бъде изтрит, докато сигналите за необичайни спирания на услуги, опити за деинсталиране на инструменти за сигурност и промени в телеметричните функции могат да разкрият фазата на подготовка на атаката.

Достъпът с минимални привилегии и сегментирането на мрежата могат да ограничат докъде може да се разпространи един натрапник, след като бъде открит.

Анализът не посочва един универсален модел за действие при рансъмуер, но показва защо валидирането на защитата е от решаващо значение.

Екипите по сигурността трябва да проиграват действията за реагиране, да преглеждат кои инструменти могат да променят защитата на крайните точки и да се уверяват, че резервните копия са възстановими под натиск.

Предишни случаи, включително заобикалянето на EDR и антивирусен софтуер от RansomHub, подчертават, че борбата често започва преди да се появи съобщението с искане за откуп.