Autor: Wojciech Ciemski

Wprowadzenie do problemu / definicja

Nieprawidłowa higiena operacyjna po stronie cyberprzestępców potrafi odsłonić elementy ich infrastruktury i metody działania. Taki przypadek dotyczy grupy ransomware Beast, której otwarty serwer ujawnił zestaw narzędzi wykorzystywanych podczas ataków. To cenny materiał analityczny, ponieważ pokazuje, jak współczesne operacje ransomware łączą rekonesans, kradzież poświadczeń, ruch lateralny, eksfiltrację danych i niszczenie mechanizmów odzyskiwania.

Dla obrońców najważniejszy wniosek jest prosty: atak ransomware nie zaczyna się od samego szyfrowania. To zwykle wieloetapowa operacja, w której napastnik najpierw przejmuje kontrolę nad środowiskiem, a dopiero później eliminuje możliwości przywrócenia usług i danych.

W skrócie

• Ujawniony serwer powiązany z Beast zawierał narzędzia do rekonesansu, mapowania sieci, zdalnego dostępu i eksfiltracji danych.
• Analiza wskazuje na użycie wielu narzędzi dual-use, czyli legalnych aplikacji wykorzystywanych w złośliwy sposób.
• Szczególny nacisk położono na usuwanie kopii zapasowych, zatrzymywanie usług i utrudnianie odzyskiwania środowiska.
• Możliwe czyszczenie logów sugeruje działania antyforensic mające ograniczyć widoczność incydentu.
• Dla organizacji oznacza to konieczność ochrony nie tylko systemów produkcyjnych, ale też backupu, telemetrii i narzędzi administracyjnych.

Kontekst / historia

Grupa Beast należy do młodszych podmiotów na scenie ransomware i według publicznie dostępnych analiz jest łączona z wcześniejszym wariantem określanym jako Monster. W 2024 roku zaczęła być szerzej identyfikowana, a w 2025 roku rozwinęła model ransomware-as-a-service, uzupełniając działalność o stronę wycieków danych. Taki model wpisuje się w dominujący dziś ekosystem cyberprzestępczy, w którym operatorzy i afilianci korzystają ze wspólnych zasobów, gotowych binariów i powszechnie dostępnych narzędzi administracyjnych.

Znaczenie incydentu wykracza poza samą grupę Beast. Ujawniony serwer potwierdza szerszy trend: wiele gangów ransomware używa bardzo podobnych łańcuchów narzędzi i zbliżonych procedur operacyjnych. W praktyce sama obecność określonych utility nie wystarcza więc do jednoznacznej atrybucji kampanii, ponieważ te same aplikacje pojawiają się w działaniach różnych aktorów.

Analiza techniczna

Z ujawnionego zestawu wynika, że operator Beast korzystał z narzędzi obejmujących niemal cały cykl życia ataku. Obejmowały one rozpoznanie środowiska, enumerację zasobów, mapowanie sieci, pozyskiwanie poświadczeń, zdalne zarządzanie, trwałość, ruch boczny i transfer danych poza organizację. To pokazuje, że kampania była przygotowana do działania zarówno przeciw pojedynczym hostom, jak i całym domenom firmowym.

Szczególnie istotne jest wykorzystanie narzędzi dual-use. Z perspektywy administratora są to często legalne aplikacje służące do zdalnej administracji, automatyzacji, synchronizacji plików czy obsługi infrastruktury. W rękach napastników stają się jednak elementem pełnoprawnego łańcucha ataku. Dla zespołów SOC oznacza to konieczność analizy kontekstu użycia, a nie tylko prostego wykrywania znanych próbek malware.

Najbardziej alarmującą częścią ujawnionego arsenału były komponenty wymierzone w kopie zapasowe. Wśród plików znajdował się skrypt służący do usuwania kopii opartych o Volume Shadow Copy Service oraz do zatrzymywania powiązanej usługi. Tego typu działanie jest typowe dla dojrzałych operacji ransomware, ponieważ ogranicza możliwość szybkiego odtworzenia danych bez płacenia okupu.

Analiza wskazuje również na użycie narzędzia, które mogło służyć do czyszczenia logów po uruchomieniu ransomware. To klasyczna technika antyforensic, której celem jest utrudnienie dochodzenia powłamaniowego, ustalenia wektora wejścia i oceny skali kompromitacji. W połączeniu z zatrzymywaniem procesów związanych z bezpieczeństwem, backupem, bazami danych czy aplikacjami biurowymi sugeruje to, że Beast prowadzi działania nastawione na maksymalną destabilizację środowiska ofiary.

Warto też podkreślić, że sam zestaw narzędzi nie jest całkowicie unikalny. Wiele grup ransomware sięga po te same utility do administracji zdalnej, transferu plików i działań poeksploatacyjnych. Dlatego skuteczna obrona powinna koncentrować się na zachowaniach, sekwencjach poleceń i anomaliach operacyjnych, a nie wyłącznie na nazwach konkretnych rodzin złośliwego oprogramowania.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem dla organizacji jest utrata zdolności odtworzeniowej. Jeśli atakujący usuwają shadow copies, zatrzymują usługi backupowe i obejmują zasięgiem także repozytoria kopii podłączone do sieci, skala incydentu rośnie wielokrotnie. Firma traci nie tylko dostęp do danych operacyjnych, ale również realną możliwość szybkiego powrotu do normalnej pracy.

Drugie ryzyko dotyczy widoczności incydentu. Legalne narzędzia użyte w złośliwym celu oraz potencjalne czyszczenie logów mogą sprawić, że atak przez dłuższy czas pozostaje niezauważony. Nawet po jego wykryciu analiza śledcza może być niepełna, co wpływa na jakość containmentu, ocenę skali naruszenia i ustalenie, czy doszło do eksfiltracji danych.

Trzecim problemem jest trudność atrybucji. Gdy różne grupy korzystają z podobnych narzędzi i zbliżonych TTP, organizacje nie powinny opierać decyzji operacyjnych wyłącznie na nazwie przypisanej kampanii. Znacznie ważniejsze jest zrozumienie rzeczywistego przebiegu ataku i tego, które elementy środowiska są najbardziej narażone.

Rekomendacje

Organizacje powinny wdrożyć warstwową ochronę endpointów i serwerów, najlepiej z użyciem EDR lub MDR zdolnych do wykrywania nietypowych sekwencji poleceń, masowego zatrzymywania procesów, usuwania kopii VSS oraz uruchamiania narzędzi administracyjnych poza standardowym kontekstem pracy. Kluczowe znaczenie ma monitorowanie działań związanych z backupem, usługami bezpieczeństwa i modyfikacją logów.

Niezbędna jest także odporna architektura kopii zapasowych. Obejmuje to zasadę 3-2-1, separację logiczną i sieciową, backupy offline lub immutable, ścisłe ograniczenie dostępu uprzywilejowanego do repozytoriów oraz regularne testy odtwarzania. Sam fakt posiadania kopii zapasowych nie gwarantuje bezpieczeństwa, jeśli pozostają one w tej samej domenie zaufania co środowisko produkcyjne.

Warto wdrożyć kontrolę użycia narzędzi zdalnej administracji i transferu plików, a tam gdzie to możliwe również allow-listing aplikacji. Programy zdalnego pulpitu, archiwizatory, klienty chmurowe czy utility synchronizacyjne powinny podlegać ścisłym zasadom uruchamiania, rejestrowania i autoryzacji.

Duże znaczenie ma również centralne i odporne na manipulację logowanie. Telemetria bezpieczeństwa, zdarzenia systemowe, dane z kontrolerów domeny i ślady z narzędzi EDR powinny trafiać do odseparowanego systemu, do którego napastnik nie uzyska łatwego dostępu po przejęciu segmentu produkcyjnego.

• Segmentuj sieć i ograniczaj ruch lateralny między strefami.
• Minimalizuj uprawnienia administracyjne oraz stosuj PAM.
• Regularnie testuj procedury reagowania na incydenty ransomware.
• Ćwicz scenariusze obejmujące utratę backupów i częściową utratę logów.
• Monitoruj użycie narzędzi dual-use w nietypowych godzinach i na nietypowych hostach.

Podsumowanie

Ujawnienie serwera operatora Beast ransomware dostarczyło rzadkiego wglądu w praktyczny warsztat współczesnej grupy cyberprzestępczej. Incydent potwierdza, że nowoczesne operacje ransomware są ukierunkowane nie tylko na szyfrowanie danych, ale także na eliminację mechanizmów odzyskiwania i ograniczenie śladów analitycznych.

Dla obrońców kluczowy wniosek jest jednoznaczny: legalne narzędzia administracyjne mogą być pełnoprawnym elementem łańcucha ataku. Skuteczna obrona wymaga więc monitorowania zachowań, izolacji systemów backupu, ochrony telemetrii oraz ścisłej kontroli nad użyciem narzędzi dual-use w środowisku przedsiębiorstwa.

Źródła

1. Dark Reading — Cyber OpSec Fail: Beast Gang Exposes Ransomware Server — https://www.darkreading.com/threat-intelligence/opsec-beast-gang-exposes-ransomware-server
2. Team Cymru — analiza infrastruktury i TTP grup ransomware — https://team-cymru.com/
3. AhnLab ASEC — analiza Beast ransomware — https://asec.ahnlab.com/
4. Sophos — The State of Ransomware 2025 — https://www.sophos.com/en-us/content/state-of-ransomware

Wprowadzenie do problemu / definicja

EDR killers to wyspecjalizowane narzędzia wykorzystywane przez cyberprzestępców do wyłączania, zakłócania lub obchodzenia systemów ochrony endpointów jeszcze przed uruchomieniem właściwego ładunku ransomware. Jedną z najczęściej obserwowanych technik w tym obszarze jest BYOVD, czyli Bring Your Own Vulnerable Driver. Metoda ta polega na dostarczeniu do systemu legalnie podpisanego, ale podatnego sterownika, a następnie wykorzystaniu jego słabości do uzyskania uprawnień jądra i neutralizacji mechanizmów bezpieczeństwa.

To podejście jest szczególnie groźne, ponieważ bazuje na zaufaniu systemu operacyjnego do podpisanych sterowników. W praktyce oznacza to, że atakujący nie musi od razu wdrażać własnego złośliwego komponentu jądra. Zamiast tego nadużywa legalnego artefaktu, który z perspektywy systemu może początkowo wyglądać na wiarygodny.

W skrócie

Najnowsze analizy pokazują, że EDR killers są dziś silnie powiązane z operacjami ransomware i stanowią istotny element przygotowania środowiska do szyfrowania danych. Wśród obserwowanych narzędzi znaczną część stanowią warianty wykorzystujące technikę BYOVD, które nadużywają podpisanych, ale podatnych sterowników w celu uzyskania dostępu do funkcji jądra systemu.

• atakujący wykorzystują legalnie podpisane sterowniki z известnymi lukami,
• celem jest wyłączenie lub sparaliżowanie agentów EDR i innych mechanizmów ochronnych,
• narzędzia te są popularne, ponieważ są przewidywalne, skuteczne i relatywnie tanie we wdrożeniu,
• poza BYOVD rośnie znaczenie wariantów skryptowych, nadużyć narzędzi anty-rootkitowych oraz metod „driverless”.

Dla obrońców oznacza to, że analiza zagrożenia nie może ograniczać się do wykrywania samego szyfratora. Coraz częściej kluczowy staje się wcześniejszy etap operacji, czyli próba oślepienia lub unieszkodliwienia ochrony endpointu.

Kontekst / historia

Współczesne kampanie ransomware są coraz bardziej modułowe. Zamiast pojedynczego pliku realizującego wszystkie funkcje, operatorzy i afilianci korzystają z całego zestawu narzędzi odpowiedzialnych za różne etapy ataku: uzyskanie dostępu, utrzymanie obecności, ruch lateralny, eksfiltrację danych, a następnie wyłączenie zabezpieczeń i uruchomienie szyfrowania.

W takim modelu EDR killer staje się odrębnym, wyspecjalizowanym komponentem łańcucha ataku. To szczególnie atrakcyjne dla ekosystemu RaaS, ponieważ rozwijanie coraz to nowych szyfratorów, które unikną detekcji, jest kosztowne i ma ograniczoną skuteczność. Znacznie łatwiejsze okazuje się wcześniejsze pozbawienie ofiary widoczności i możliwości reakcji poprzez dezaktywację ochrony na stacjach roboczych i serwerach.

Taki trend tłumaczy, dlaczego narzędzia do wyłączania EDR utrzymują wysoką popularność zarówno wśród zamkniętych grup przestępczych, jak i afiliantów korzystających z gotowych usług, publicznie dostępnych projektów oraz zmodyfikowanych proof-of-conceptów.

Analiza techniczna

Technika BYOVD opiera się na załadowaniu do systemu sterownika działającego w trybie jądra, który jest legalnie podpisany, ale zawiera podatność umożliwiającą wykonanie niebezpiecznych operacji. Po jego uruchomieniu atakujący może uzyskać możliwość wykonywania działań na poziomie Ring 0, a więc z najwyższymi uprawnieniami w systemie.

Na tym poziomie możliwe staje się nie tylko kończenie procesów ochronnych, ale także wyłączanie usług bezpieczeństwa, manipulowanie mechanizmami wykorzystywanymi przez rozwiązania EDR, ingerowanie w pamięć procesów oraz osłabianie innych warstw ochronnych systemu. To właśnie dostęp do jądra daje przewagę, której nie zapewniają standardowe techniki działające wyłącznie w przestrzeni użytkownika.

• kończenie chronionych procesów bezpieczeństwa,
• zatrzymywanie usług ochronnych,
• ingerencja w pamięć procesów,
• manipulacja callbackami jądra,
• obchodzenie mechanizmów monitorujących aktywność systemową.

Jednocześnie sam fakt użycia konkretnego podatnego sterownika nie powinien być traktowany jako wystarczająca podstawa do atrybucji. Ten sam sterownik może zostać wykorzystany przez wiele niepowiązanych rodzin narzędzi, a pojedynczy zestaw malware może z czasem migrować pomiędzy różnymi sterownikami. Z perspektywy analitycznej ważniejsze staje się więc powiązanie zachowań, sekwencji działań i szerszego kontekstu incydentu.

Poza klasycznym BYOVD badacze wskazują również na inne klasy EDR killerów. Najprostsze warianty używają natywnych poleceń administracyjnych do kończenia procesów, zatrzymywania usług czy usuwania wpisów serwisowych. Inna grupa nadużywa legalnych narzędzi anty-rootkitowych, które z definicji dysponują wysokimi uprawnieniami. Coraz większą uwagę zwracają także rozwiązania „driverless”, które nie muszą bezpośrednio zabijać procesów, ale zakłócają komunikację agentów z infrastrukturą bezpieczeństwa lub doprowadzają je do stanu zawieszenia.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem użycia EDR killera jest utrata widoczności w najbardziej krytycznym momencie incydentu. Jeśli napastnik skutecznie wyłączy ochronę endpointu tuż przed wdrożeniem ransomware, organizacja może nie zauważyć eskalacji uprawnień, przygotowania do szyfrowania, eksfiltracji danych czy prób uszkodzenia systemów kopii zapasowych.

Ryzyko zwiększa kilka czynników. Po pierwsze, wykorzystywane sterowniki są legalnie podpisane, co utrudnia ich jednoznaczne zaklasyfikowanie jako złośliwe. Po drugie, narzędzia do wyłączania EDR są coraz łatwiej dostępne i bywają rozwijane jako gotowy produkt lub usługa. Po trzecie, twórcy tych rozwiązań inwestują w obejścia detekcji, mechanizmy antyanalizy i większą elastyczność operacyjną.

Dodatkowym problemem jest moment użycia takich narzędzi. EDR killer najczęściej pojawia się bardzo późno w przebiegu ataku, bezpośrednio przed etapem destrukcyjnym. To skraca czas reakcji zespołów bezpieczeństwa i oznacza, że obrona oparta wyłącznie na wykrywaniu pojedynczych próbek lub rodzin malware może być niewystarczająca.

Rekomendacje

Organizacje powinny traktować zagrożenie BYOVD i EDR killerów jako stały element nowoczesnych operacji ransomware. Odpowiedź obronna musi obejmować zarówno kontrolę aktywności w przestrzeni użytkownika, jak i monitorowanie mechanizmów jądra oraz integralności sterowników.

• wdrożenie i egzekwowanie list blokowanych podatnych sterowników,
• monitorowanie prób instalacji nowych sterowników i zmian w usługach systemowych,
• wykrywanie nietypowych operacji na procesach ochronnych oraz usługach bezpieczeństwa,
• ograniczenie uprawnień administracyjnych i segmentacja dostępu uprzywilejowanego,
• włączenie mechanizmów ochrony integralności kodu i sterowników,
• alarmowanie na polecenia administracyjne używane przeciw agentom bezpieczeństwa,
• kontrola użycia legalnych narzędzi anty-rootkitowych w środowisku produkcyjnym,
• korelacja zdarzeń poprzedzających szyfrowanie, takich jak wyłączanie ochrony, restart do trybu awaryjnego czy nietypowe ładowanie sterowników,
• regularne testy detekcji i ćwiczenia purple teaming dla scenariuszy BYOVD.

W praktyce najskuteczniejsza strategia nie polega na czekaniu na moment uruchomienia szyfratora, lecz na przerywaniu wcześniejszych etapów operacji. Wykrycie rekonesansu, eskalacji uprawnień, przygotowania środowiska i prób neutralizacji ochrony może znacząco ograniczyć skutki incydentu.

Podsumowanie

EDR killers stały się jednym z najbardziej użytecznych narzędzi wspierających współczesne ataki ransomware. Technika BYOVD dominuje, ponieważ łączy wysoką skuteczność z relatywnie niskim kosztem wdrożenia i wykorzystuje zaufanie systemu do podpisanych sterowników. Jednocześnie krajobraz zagrożeń rozwija się dalej, obejmując także warianty skryptowe, nadużycia narzędzi anty-rootkitowych oraz metody „driverless”.

Dla zespołów bezpieczeństwa kluczowy wniosek jest jednoznaczny: ochrona przed ransomware nie może ograniczać się do detekcji samego szyfratora. Równie ważne jest blokowanie i monitorowanie mechanizmów, które mają przygotować środowisko do bezkarnego przeprowadzenia finalnej fazy ataku.

Źródła

1. The Hacker News — https://thehackernews.com/2026/03/54-edr-killers-use-byovd-to-exploit-34.html
2. ESET Research: EDR killers explained: Beyond the drivers — https://www.welivesecurity.com/en/eset-research/edr-killers-explained-beyond-the-drivers/