Hackers sell NtKiller malware in Dark Web
NtKiller malware claims hackers can in turn disable EDR
To protect computers from malware, they can't escape the use of tools like anti-viruses or more complete tools like EDR (Endpoints Detection and Response), but hackers are starting to take it half a step again with a new malware that has the ability to deal with these tools.
According to a report by the website Cyber Security News, a research team from KrakenLabs, a cybersecurity expert firm, has detected that hackers, or a group of hackers called AlphaGhoul, have developed but distributed a new malware, NtKiller, through the underground black market, boasting that the malware has the ability to shut down a variety of popular security systems such as Microsoft Defender, ESET, Kaspersky, Bitdefender, and Trend Micro, among others. In addition, the malware also has an Aggressive Mode for breaking through EDR-grade tools for enterprise use. Also, the distribution of malware will be sold as a module, starting with the core module sold at US $500 (THB 15,620), while other add-ons like UAC Bypass and Rootkit will be sold for US $300 per add-on (THB 9,370.20).
For technical data, the malware will create persistence on the system, or Persistence, by automating itself during the boot up phase to run before the installed security system starts. It also has anti-Debugging and anti-analysis capabilities, making it impossible to be monitored by cyber researchers.
As for capabilities like UAC, Bypass will break through the User Account Control protection system to allow malware to access a high level of permissions. At the same time, adding permissions will not result in alerting victims that an invasive foreign user has upgraded permissions on the system, while Rootkit's part will be in terms of creating Persistence and stealth, quietly hiding inside the system at the same time.
This is all just an analysis of the hackers' boasting ads inside the underground website. It is not possible to confirm whether all these capabilities are true, as the research team has no access to the real malware at this time.
# Trending # Lemon 8 Howtoo # Drug sign with lemon8 # lemon 8 diary # freedomhack
ถ้าคุณลองเสิร์ชคำว่า “NtKiller” แล้วเจอแต่โพสต์สั้น ๆ หรือภาพโฆษณาในดาร์กเว็บ บอกเลยว่าความสับสนหลัก ๆ คือมัน “มีอยู่จริงแค่ไหน” และ “มันอันตรายกับคนทั่วไปหรือเฉพาะองค์กร” จากที่อ่านรายงานและดูรายละเอียดที่ถูกนำมาอ้าง สิ่งที่ควรจับใจความคือ NtKiller ถูกทำตลาดเหมือนเป็น “ชุดเครื่องมือปิดระบบป้องกัน” มากกว่าจะเป็นมัลแวร์ตัวเดียวจบ โดยมีการขายแบบโมดูล (Core + Add-on) และชูจุดขายเรื่องปิดแอนตี้ไวรัส/EDR/ไฟร์วอลล์แบบเงียบ ๆ รวมถึงมีโหมด Aggressive สำหรับลุย EDR เกรดองค์กร สิ่งที่มักถูกพูดถึงคู่กับ NtKiller คือคำว่า persistence, anti-debugging และ anti-analysis ซึ่งถ้าอธิบายแบบภาษาคนใช้คอมคือ 1) persistence = ทำให้มัน “ติดเครื่อง” อยู่ได้นาน เช่น เซ็ตให้รันตอนเปิดเครื่อง (startup) เพื่อแย่งทำงานก่อนโปรแกรมป้องกัน 2) anti-debug/analysis = ทำให้คนวิเคราะห์มัลแวร์ตรวจยากขึ้น เช่น ตรวจจับว่ากำลังถูกรันใน sandbox/VM หรือมีเครื่องมือดีบั๊กอยู่แล้วหยุดทำงาน/เปลี่ยนพฤติกรรม อีกคำที่เจอบ่อยในภาพโปรโมตคือ UAC Bypass กับ Rootkit อันนี้เป็น “ส่วนเสริม” ที่ทำให้เกมยากขึ้นสำหรับฝั่งป้องกัน: UAC Bypass คือพยายามข้ามหน้าต่างยืนยันสิทธิ์ของ Windows เพื่อยกระดับสิทธิ์แบบไม่ให้ผู้ใช้สังเกต ส่วน Rootkit คือแนวทางซ่อนตัว/ซ่อนไฟล์/ซ่อนโปรเซส เพื่ออยู่ในระบบได้นานและตรวจจับยากขึ้น (และมักถูกใช้เพื่อสร้าง persistence เพิ่มเติมด้วย) อย่างไรก็ตาม ประเด็นสำคัญที่คนอ่านควรระวังคือ ตอนนี้หลายข้อมูลยังมาจาก “คำโฆษณา” ของผู้ขายในตลาดมืด ทีมวิจัยบางส่วนยังไม่ยืนยันด้วยตัวอย่างมัลแวร์จริง ดังนั้นเวลาเจอคำเคลมว่า “ปิด Microsoft Defender, ESET, Kaspersky, Bitdefender, Trend Micro” หรือ “ปิด EDR ได้ทุกเจ้า” ให้มองเป็นสัญญาณเตือนภัย แต่ยังไม่ควรสรุปว่า 100% ทำได้ตามนั้น เพราะผู้ขายมัลแวร์ชอบโม้เพื่อดันยอดขาย ถ้าคุณกังวลว่า NtKiller จะกระทบยังไงกับผู้ใช้ทั่วไป/องค์กร แบบที่ฉันแนะนำให้โฟกัสคือ “พฤติกรรมป้องกันพื้นฐานที่ช่วยได้กับมัลแวร์แนวปิดระบบป้องกัน”: อัปเดต Windows/ซอฟต์แวร์ให้ล่าสุด, เปิดใช้การป้องกันแบบเรียลไทม์, จำกัดสิทธิ์ผู้ใช้ไม่ให้เป็นแอดมินโดยไม่จำเป็น, เปิดการป้องกันการแก้ไข (tamper protection) หากมี, และทำแบ็กอัปแบบแยกเครื่อง/ออฟไลน์เป็นประจำ สุดท้าย ถ้าเห็นไฟล์หรือสคริปต์แปลก ๆ อ้างชื่อ NtKiller หรือชวนดาวน์โหลด “ตัวทดลอง/ตัวเดโม” อย่าลองรันเอง เพราะมัลแวร์สายนี้มักตั้งใจทำให้เครื่องมือวิเคราะห์ทำงานยากและอาจทำให้เครื่องติดจริงได้ง่ายกว่าที่คิด สิ่งที่ควรทำคือบันทึกข้อมูลที่พบ (ลิงก์/แฮช/ชื่อไฟล์) แล้วส่งให้ทีมไอทีหรือผู้เชี่ยวชาญตรวจสอบในสภาพแวดล้อมที่ปลอดภัยแทน
