O ransomware BlackCat foi detectado em fevereiro, usando drivers de kernel do Windows assinados para evitar a detecção por ferramentas de segurança.
O malware POORTRY é um driver do kernel do Windows assinado por meio de chaves roubadas de contas genuínas no Windows Hardware Developer Program.
Embora o software de segurança seja geralmente protegido contra encerramento, os privilégios desfrutados pelos drivers do kernel do Windows são do mais alto nível e eles podem ser usados para finalizar qualquer processo.
Quando os invasores tentaram usar o POORTRY, descobriram que a taxa de detecção desse malware pelo software de segurança era muito alta devido à publicidade que ganhou depois que as chaves de assinatura de código foram revogadas. Portanto, eles modificaram o driver do kernel POORTRY.
Esse driver atualizado usado pela operação BlackCat permitiu que eles elevassem os privilégios em máquinas comprometidas e burlando os agentes de segurança.
É que os administradores adicionem os drivers maliciosos usados pelos grupos de ransomware à lista de bloqueio de drivers do Windows.
