Aktørene bak løsepengevirus slår i økende grad av forsvaret på endepunktene før de krypterer noe som helst. Den vanligste metoden, Bring Your Own Vulnerable Driver (BYOVD), laster inn en legitimt signert, men mangelfull driver for å nå Windows-kjernen og slå av overvåkingsagenter. Det er en teknikk som brukes etter at angriperen har kommet seg inn, og den har ett absolutt krav: Angriperen må allerede ha lokale administratorrettigheter på endepunktet. Faste lokale administratorrettigheter er rettigheten som får det til å fungere.
Hvorfor «Bring Your Own Vulnerable Driver» fungerer
Mønsteret er nå standard i angrepsoppskriftene. Etter den første tilgangen – via phishing, en kompromittert konto eller en megler som selger innbruddstilganger (initial access broker) – bruker angriperen lokale administratorrettigheter til å laste inn en signert, men mangelfull driver og nå Windows-kjernen. Derfra fjerner angriperen sikkerhetstilbakekall (security callbacks) og avslutter overvåkingsprosesser, og ruller deretter ut løsepengeviruset mot et endepunkt som ikke lenger kan forsvare seg. Sikkerhetsforskere har dokumentert EDR-drepere som misbruker signerte, men sårbare drivere på akkurat denne måten. Ett eksempel, AuKill, misbrukte en legitimt signert Microsoft-driver til å slå av beskyttelsen før angriperne rullet ut løsepengevirus som Medusa Locker og LockBit.
Hvorfor Windows stoler på en sårbar driver
Windows laster bare inn en kjernedriver hvis den har en gyldig digital signatur. En sårbar driver kan likevel være legitimt signert, så systemet godtar den uten innvendinger – og når den først kjører i kjernen, ligger den under sikkerhetsverktøyene som overvåker brukermodus (user space). Det er dette som gjør en signert, men mangelfull driver til en så effektiv måte å slå av en EDR innenfra.
Faste lokale administratorrettigheter er fellesnevneren
Mange endepunkter kjører fortsatt med permanente lokale administratorrettigheter, ofte fordi det er praktisk. Den faste rettigheten er nettopp det teknikken gjenbruker: Den gir angriperen en klar og varig vei til å laste inn en sårbar driver. Fjern den faste rettigheten, så blir forutsetningen mye vanskeligere å oppfylle.
Slik fjerner CapaOne faste lokale administratorrettigheter
CapaOne Privilege Manager fjerner faste lokale administratorrettigheter og erstatter dem med midlertidig, tidsbegrenset og avgrenset heving av rettigheter (just-in-time). Brukerne får administratorrettigheter til en bestemt oppgave eller et bestemt program, i et definert tidsvindu, tildelt via eksisterende Entra ID-grupper – og hevingen trekkes automatisk tilbake når tidsvinduet er over, med full revisjonslogging. Uten en permanent lokal administratorrettighet å gjenbruke kan ikke en angriper bare laste inn en sårbar driver når det passer, og det reduserer angrepsflaten som BYOVD er avhengig av.
Se hvilke endepunkter som fortsatt har faste lokale administratorrettigheter
Før du kan fjerne en rettighet, må du finne den. Privilege Manager viser hvilke endepunkter som fortsatt har faste lokale administratorrettigheter, slik at IT-teamet ser eksponeringen før en angriper gjør det. Security Monitor avdekker konfigurasjonsavvik når en beskyttelse endres eller slås av. CapaOne er ikke en EDR: Å fjerne faste lokale administratorrettigheter er forebyggende herding og tilgangskontroll – det reduserer angrepsflaten og øker motstandskraften mot teknikker som BYOVD, i stedet for å oppdage eller håndtere et pågående angrep. Det fungerer som en del av en lagdelt forsvarsstrategi sammen med tiltak som Microsofts Vulnerable Driver Blocklist.
Minste privilegium som en del av én plattform
Privilege Manager og Security Monitor er deler av én skybasert plattform med felles dashbord og revisjonsklar dokumentasjon som kan eksporteres, til styringsgjennomganger og et sikkerhetsnivå i tråd med NIS2. CapaOne fungerer helt selvstendig, og plattformen fungerer side om side med Intune og EDR-løsningen du allerede har – sammen med dem, ikke i stedet for dem.
Hva dette betyr for sikkerhet og etterlevelse
- Fjern en fast rettighet som BYOVD og mange teknikker for løsepengevirus er avhengige av, og krymp angrepsflaten.
- Hold brukerne produktive med avgrenset, tidsbegrenset heving av rettigheter som trekkes tilbake automatisk – uten permanent lokal admin.
- Lag revisjonsklare logger over heving av rettigheter til styringskrav og et sikkerhetsnivå i tråd med NIS2.
- Se konfigurasjonsavvik på tvers av endepunktene, slik at beskyttelse som er slått av eller endret, blir synlig raskt.
En EDR er bare så sterk som evnen din til å holde den i gang. Å fjerne faste lokale administratorrettigheter fjerner en enkel og varig vei angripere bruker for å slå den av – og CapaOne gjør det uten å bremse folk. Enhver gjennomgang av motstandskraften mot løsepengevirus bør behandle faste lokale administratorrettigheter som en eksponering av første rang, ikke som en ettertanke. Book en demo av CapaOne-plattformen for endepunktadministrasjon for å se policybasert heving av rettigheter og innsyn i konfigurasjonen i praksis – eller start en gratis prøveperiode og utforsk den selv.
