На одном из русскоязычных хакерских форумов появилось предложение о продаже вируса Terminator, якобы способного обойти защиту 24 популярных антивирусов, а также XDR — и EDR-системы.
Также Terminator может обойти защиту Windows Defender, активированного в Windows 7 и более поздних системах. Автор программы известен под ником Spyboy, он предлагает вирус за $300 для обхода защиты одного антивируса, за $3000 можно приобрести версию, работающую по принципу «всё включено».
Чтобы воспользоваться «Терминатором», хакер должен получить доступ администратора к целевому Windows-компьютеру. К тому же придётся запутать жертву и получить разрешение запроса от контроля учётных записей пользователей.
При этом известно, что вирус прост в работе: софт сбрасывает в систему легитимный и подписанный драйвер уровня ядра Zemana — zamguard64.sys или zam64.sys, который копируется в директорию C:WindowsSystem32 с рандомным (случайным) именем от 4 до 10 символов. Затем вирус загружает драйвер с правами ядра и отключает процессы антивирусов на уровне пользователя.
Опасность зловреда подтверждается тем, что при анализе на VirusTotal только один антивирусный движок распознал угрозу в драйвере.
