byovd

Обзор и происхождение GhostEngine — семейство загрузчиков (downloader) для операционных систем Windows, основная задача которых — доставка и запуск последующих стадий вредоносного ПО. В открытых источниках (ThreatFox, Malpedia) семейство зафиксировано как активное: на момент подготовки профиля...

Почему драйверы — критическая точка атаки Драйвер в Windows выполняется в режиме ядра (Ring 0). Это означает полный доступ к физической памяти, таблицам страниц, структурам ядра и аппаратным прерываниям. Если злоумышленник получает возможность загрузить произвольный драйвер, он фактически...

EDR-агент — не монолитная программа, а многоуровневая система, компоненты которой работают в разных привилегированных кольцах. Понимание того, как именно EDR наблюдает за хостом, позволяет защитнику оценить, какие точки наблюдения может попытаться ослепить атакующий, и выстроить детект на обход...

Суть техники BYOVD BYOVD (Bring Your Own Vulnerable Driver) — техника, при которой атакующий загружает в ядро Windows легитимный, криптографически подписанный драйвер, содержащий известную уязвимость. Поскольку драйвер подписан доверенным сертификатом, операционная система загружает его без...