Případová studie Microsoft DART ransomware

Článek
03/10/2024

Ransomwar provozovaný lidmi nadále udržuje svou pozici jako jeden z nejvýraznějších kyberútokových trendů po celém světě a je významnou hrozbou, se kterou se v posledních letech setkalo mnoho organizací. Tyto útoky využívají chybnou konfiguraci sítě a úspěšně se využívají slabého vnitřního zabezpečení organizace. I když tyto útoky představují jasné a přítomné nebezpečí organizacím a jejich IT infrastruktuře a datům, představují předcházet katastrofě.

Tým Microsoftu pro detekci a reakce (DART) reaguje na bezpečnostní kompromisy, které zákazníkům pomůžou stát se kyberneticky odolnými. DART poskytuje reakce na reaktivní incidenty na místě a vzdálené proaktivní vyšetřování. DART využívá strategická partnerství Microsoftu s bezpečnostními organizacemi po celém světě a interními skupinami produktů Microsoftu k zajištění nejúplnějšího a důkladného vyšetřování.

Tento článek popisuje, jak DART vyšetřoval nedávný incident ransomwaru s podrobnostmi o taktikách útoku a mechanismech detekce.

Další informace najdete v části 1 a 2 příručky DART k boji proti ransomwaru provozovanému člověkem.

Útok

DarT využívá nástroje pro reakce na incidenty a taktiku k identifikaci chování herců hrozeb pro lidské provozované ransomware. Veřejné informace týkající se událostí ransomwaru se zaměřují na konečný dopad, ale zřídka zvýrazňují podrobnosti o operaci a o tom, jak dokázali aktéři hrozeb eskalovat jejich přístup k nezjištěným zjištěním, monetizaci a extortizaci.

Tady je několik běžných technik, které útočníci používají pro útoky ransomwarem na základě taktiky MITRE ATT&CK.

DarT použil Microsoft Defender for Endpoint ke sledování útočníka prostřednictvím prostředí, vytvoření scénáře znázorňujícího incident a následnému vymýcení hrozby a nápravu. Po nasazení začal Defender for Endpoint zjišťovat úspěšná přihlášení z útoku hrubou silou. Po zjištění této možnosti nástroj DART zkontroloval bezpečnostní data a zjistil několik ohrožených internetových zařízení pomocí protokolu RDP (Remote Desktop Protocol).

Po získání počátečního přístupu objekt actor hrozby použil nástroj pro získávání přihlašovacích údajů Mimikatz k výpisu hodnot hash hesel, naskenoval přihlašovací údaje uložené v prostém textu, vytvořil zadní vrátka s manipulací s Sticky Key a přesunul se později v síti pomocí relací vzdálené plochy.

V této případové studii je zvýrazněná cesta, kterou útočník vzal.

Následující části popisují další podrobnosti na základě taktiky MITRE ATT&CK a obsahují příklady toho, jak byly aktivity objektu actor hrozeb zjištěny pomocí portálu Microsoft Defender.

Počáteční přístup

Ransomwarové kampaně používají pro svůj počáteční vstup dobře známá ohrožení zabezpečení, obvykle používají phishingové e-maily nebo slabá místa v hraniční ochraně, jako jsou zařízení s povolenou službou Vzdálená plocha vystavená na internetu.

V případě tohoto incidentu nástroj DART dokázal najít zařízení, které mělo port TCP 3389 pro protokol RDP vystavené internetu. Tím umožnili aktéři hrozeb provést útok hrubou silou a získat počáteční zápatí.

Defender for Endpoint používal inteligentní informace o hrozbách k určení, že na portálu Microsoft Defenderu došlo k mnoha přihlášením ze známých zdrojů hrubou silou a zobrazili je. Následuje příklad.

An example of known brute-force sign-ins in the Microsoft Defender portal.

Průzkum

Po úspěšném počátečním přístupu začal výčet prostředí a zjišťování zařízení. Tyto aktivity umožňují subjektům hrozeb identifikovat informace o interní síti organizace a cílových důležitých systémech, jako jsou řadiče domény, záložní servery, databáze a cloudové prostředky. Po výčtu a zjišťování zařízení provedli aktéři hrozeb podobné aktivity k identifikaci ohrožených uživatelských účtů, skupin, oprávnění a softwaru.

Objekt actor hrozby využil advanced IP Scanner, nástroj pro kontrolu IP adres, k vytvoření výčtu IP adres použitých v prostředí a provedení následné kontroly portů. Když hledá otevřené porty, aktér hrozeb zjistil zařízení, která byla přístupná z původně ohroženého zařízení.

Tato aktivita se zjistila v defenderu for Endpoint a použila se jako indikátor ohrožení (IoC) k dalšímu šetření. Následuje příklad.

An example of port scanning in the Microsoft Defender portal.

Krádež přihlašovacích údajů

Po získání počátečního přístupu aktéři hrozeb provedli získávání přihlašovacích údajů pomocí nástroje pro načítání hesla Mimikatz a vyhledáváním souborů obsahujících "heslo" na původně ohrožených systémech. Tyto akce aktivují aktéři hrozeb přístup k dalším systémům s legitimními přihlašovacími údaji. V mnoha situacích používají aktéři hrozeb tyto účty k vytvoření dalších účtů pro zachování trvalosti po zjištění a nápravě počátečních ohrožených účtů.

Tady je příklad zjištěného použití Mimikatz na portálu Microsoft Defender.

An example of Mimikatz detection in the Microsoft Defender portal

Laterální pohyb

Přesun mezi koncovými body se může mezi různými organizacemi lišit, ale aktéři hrozeb běžně používají různé druhy softwaru pro vzdálenou správu, který už na zařízení existuje. Pomocí metod vzdáleného přístupu, které IT oddělení běžně používá ve svých každodenních aktivitách, můžou aktéři hrozeb letět pod radarem po delší dobu.

Pomocí Programu Microsoft Defender for Identity bylo možné pomocí programu DART namapovat cestu, kterou aktér hrozeb vzal mezi zařízeními, a zobrazit použité účty a přístup k němu. Následuje příklad.

The path that the threat actor took between devices in Microsoft Defender for Identity.

Obrana před únikem

Aby se zabránilo detekci, aktéři hrozeb použili techniky úniku obrany, aby se vyhnuli identifikaci a dosažení svých cílů v průběhu cyklu útoku. Mezi tyto techniky patří zakázání nebo manipulace s antivirovými produkty, odinstalace nebo zakázání bezpečnostních produktů nebo funkcí, úprava pravidel brány firewall a použití obfuskací technik ke skrytí artefaktů vniknutí z bezpečnostních produktů a služeb.

Objekt actor hrozby pro tento incident pomocí PowerShellu zakázal ochranu v reálném čase v programu Microsoft Defender na zařízeních s Windows 11 a Windows 10 a místních síťových nástrojích pro otevření portu TCP 3389 a povolení připojení RDP. Tyto změny snížily pravděpodobnost detekce v prostředí, protože upravily systémové služby, které detekují škodlivou aktivitu a upozorňují na je.

Defender pro koncový bod však nelze zakázat z místního zařízení a podařilo se mu zjistit tuto aktivitu. Následuje příklad.

An example of detecting the use of PowerShell to disable real-time protection for Microsoft Defender.

Uchování

Techniky trvalosti zahrnují akce, které aktéři hrozeb za účelem zachování konzistentního přístupu k systémům po provedení úsilí bezpečnostních pracovníků znovu získali kontrolu nad ohroženými systémy.

Aktéři hrozeb pro tento incident použili hack Sticky Keys, protože umožňuje vzdálené spuštění binárního souboru v operačním systému Windows bez ověřování. Potom tuto funkci použili ke spuštění příkazového řádku a dalším útokům.

Tady je příklad detekce hacku Sticky Keys na portálu Microsoft Defender.

An example of detecting the Sticky Keys hack in the Microsoft Defender portal.

Dopad

Aktéři hrozeb obvykle šifrují soubory pomocí aplikací nebo funkcí, které už v prostředí existují. Použití psExec, zásad skupiny a správy konfigurace koncového bodu Microsoftu jsou metody nasazení, které objektu actor umožňují rychle se dostat ke koncovým bodům a systémům bez narušení normálních operací.

Objekt actor hrozby pro tento incident využil Nástroj PsExec ke vzdálenému spuštění interaktivního skriptu PowerShellu z různých vzdálených sdílených složek. Tato metoda útoku randomizuje distribuční body a ztěžuje nápravu během poslední fáze útoku ransomwarem.

Spuštění ransomwaru

Spuštění ransomwaru je jednou z primárních metod, kterou aktér hrozeb používá ke zpeněžení útoku. Bez ohledu na metodu provádění mají různé architektury ransomwaru po nasazení společný vzor chování: