غیرفعال سازی سرویس EDR توسط باج افزار RansomHub

باج افزار RansomHub با استفاده از آسیب پذیری به نام Zerologon که آسیب پذیری مربوط به Active Directory می باشد ، به سیستم های شبکه دسترسی می گیرد. سپس با استفاده از ابزاری به نام EDRKillShifter مکانیزم دفاعی EDR را غیرفعال می کند. این باج افزار از ۴ script دیگر به نام های 232.bat برای اجرای حمله password spraying و غیرفعال سازی Windows Defender، Tdsskiller.bat برای تغییر Registry و غیر فعال سازی Trend Micro’sآنتی ویروس ، Killdeff.bat برای ارتقای سطح دسترسی و LogDel.bat برای پاک کردن Event viewer ویندوز و تغییر تنظیمات RDP استفاده می کند.