Missbrauch von legitimen Low-Level-Tools zur Umgehung der Antivirus-Erkennung durch Ransomware

Zusammenfassung

Der Artikel erklärt, wie Ransomware-Operatoren legitime Low-Level-Utilities wie Process Hacker, IOBit Unlocker, PowerRun und ähnliche Tools ausnutzen, um Antivirus- und Endpunktschutz zu schwächen. Durch den Missbrauch dieser signierten Binärdateien können Angreifer SYSTEM- oder sogar Kernel-Level-Berechtigungen erlangen, Anmeldedaten stehlen und die Umgebung für die Bereitstellung von Ransomware vorbereiten. Das Stück hebt hervor, wie sich die Neutralisierung von Antivirus von einfachen Skripten zu gebündelten Fähigkeitensätzen in modernen Ransomware-as-a-Service-Angeboten entwickelt hat. Es verweist auch auf reale Ransomware-Gruppen, die diese Methoden übernommen haben.

Untersuchung

Die Untersuchung beschreibt ein Zweistufen-Einbruchsmuster, bei dem Gegner zunächst Low-Level-Tools für Privilegieneskalation und Antivirusumgehung einsetzen und dann zu Zugangsdiebstahl, Kernel-Manipulation und Ausführung der Ransomware-Nutzlast wechseln. Die Tool-Aktivität wird MITRE ATT&CK-Techniken zugeordnet, einschließlich T1548.002, T1562.001 und T1003.001. Fallbeispiele verbinden diese Utilities mit Ransomware-Operationen wie LockBit 3.0, Phobos, MedusaLocker und anderen.

Minderung

Empfohlene Minderungen umfassen die Durchsetzung einer Anwendungsliste, die Überwachung großangelegter Prozessbeendigungen, die Überprüfung von Registrierungsänderungen, welche die Antivirus-Einstellungen betreffen, und die Begrenzung der Ausführung administrativer Tools auf nur genehmigte Konten. Endpunktschutzplattformen sollten auch die Selbstschutzkontrollen stärken, um erzwungene Abschaltungen von Sicherheitsprozessen und -diensten zu widerstehen.

Reaktion

Wenn dieses Verhalten erkannt wird, sollten Organisationen bei verdächtigen AV- oder EDR-Prozessbeendigungen einen Alarm auslösen, den betroffenen Host isolieren, forensische Beweise für Registry- und Dateiveränderungen sichern und nach LSASS-Zugriff im Zusammenhang mit Zugangsdiebstahl untersuchen. Die Vorfallreaktion sollte die beobachtete Kill Chain schnell genug verfolgen, um den Einbruch einzudämmen, bevor die Ransomware-Verschlüsselung beginnt.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Basislinien-Vorflug-Check muss bestanden sein.

• Angriffserzählung & Befehle:

  Der Gegner hat administrative Rechte auf dem Opfer-Host erlangt und möchte den Endpunktschutz neutralisieren, bevor er Ransomware-Nutzlasten bereitstellt. Mit dem legitimen Utility HRSword.exe, geben sie einen Befehl aus, der den Antivirusdienst (avservice) stoppt und dessen automatischen Neustart deaktiviert, sodass der Verteidiger den Dienst während des Angriffsfensters nicht wiederherstellen kann. Der Befehl wird direkt in einer PowerShell-Konsole ausgeführt, um ein klares Sysmon-Prozesserstellungsereignis zu generieren, das der Erkennungsregel entspricht.

• Regressionstestskript:

  <# 
  Simulation der Verwendung von HRSword.exe zum Stoppen eines AV-Dienstes und Deaktivieren seines Neustarts.
  Dieses Skript muss mit erhöhten (Administrator-) Rechten ausgeführt werden.
  #>
  
  # Variablen
  $hrswordPath = "$env:ProgramFilesHRSwordHRSword.exe"
  $serviceName = "avservice"
  
  # Sicherstellen, dass HRSword.exe vorhanden ist (als Schein erstellen, falls nicht)
  if (-Not (Test-Path $hrswordPath)) {
      Write-Host "Erstelle Schein-HRSword.exe für Simulation..."
      # Erstellen Sie ein Dummy-Executable (eine Kopie von cmd.exe) nur zu Logging-Zwecken
      Copy-Item "$env:windirSystem32cmd.exe" $hrswordPath -Force
  }
  
  # Führen Sie die genaue Befehlszeile aus, die die Sigma-Regel überwacht
  $command = "& `"$hrswordPath`" /service stop $serviceName /disable"
  Write-Host "Ausführung: $command"
  Invoke-Expression $command
  
  # Optional: Schreiben Sie ein benutzerdefiniertes Ereignis, um den Abschluss anzugeben (hilft bei der End-to-End-Überprüfung)
  Write-EventLog -LogName Application -Source "HRSwordSimulation" -EventId 3000 -EntryType Information -Message "HRSword-Dienststopsimulation abgeschlossen."

• Bereinigungskommandos:

  <#
  Stellen Sie den AV-Dienst in seinen ursprünglichen Zustand wieder her und entfernen Sie das Scheinprogramm.
  #>
  
  # Starten Sie den AV-Dienst neu (falls vorhanden)
  $serviceName = "avservice"
  if (Get-Service -Name $serviceName -ErrorAction SilentlyContinue) {
      Write-Host "Dienst $serviceName wird neu gestartet ..."
      Start-Service -Name $serviceName -ErrorAction SilentlyContinue
  }
  
  # Entfernen Sie das Schein-HRSword.exe (falls es erstellt wurde)
  $hrswordPath = "$env:ProgramFilesHRSwordHRSword.exe"
  if (Test-Path $hrswordPath) {
      Write-Host "Schein-HRSword.exe entfernen ..."
      Remove-Item $hrswordPath -Force
  }
  
  # Löschen Sie den benutzerdefinierten Ereignisprotokolleintrag
  Get-EventLog -LogName Application -Source "HRSwordSimulation" -After (Get-Date).AddMinutes(-10) | Remove-EventLog