Exploitation d’Outils Légitimes de Bas Niveau pour Aider les Ransomwares à Échapper à la Détection Antivirus

Résumé

L’article explique comment les opérateurs de ransomware abusent de diverses utilitaires de bas niveau légitimes tels que Process Hacker, IOBit Unlocker, PowerRun et d’autres outils similaires pour affaiblir les antivirus et la protection des terminaux. En détournant ces binaires signés, les attaquants peuvent obtenir des privilèges de SYSTEM voire de niveau noyau, voler des identifiants et préparer l’environnement pour le déploiement de ransomware. L’article met en lumière l’évolution de la neutralisation des antivirus, passant de simples scripts à des ensembles de capacités intégrées dans les offres modernes de Ransomware-as-a-Service. Il fait également référence à des groupes de ransomware du monde réel qui ont adopté ces méthodes.

Enquête

L’enquête décrit un schéma d’intrusion en deux étapes dans lequel les adversaires utilisent d’abord des outils de bas niveau pour l’escalade des privilèges et l’évasion des antivirus, puis se tournent vers le vol d’identifiants, la manipulation du noyau, et l’exécution de la charge utile du ransomware. L’activité des outils est cartographiée par rapport aux techniques MITRE ATT&CK incluant T1548.002, T1562.001, et T1003.001. Des exemples de cas relient ces utilitaires à des opérations de ransomware telles que LockBit 3.0, Phobos, MedusaLocker, et d’autres.

Atténuation

Les atténuations recommandées comprennent l’application d’une liste d’applications autorisées, la surveillance des terminaisons de processus à grande échelle, l’audit des modifications du registre qui affectent les paramètres antivirus, et la limitation de l’exécution des utilitaires administratifs aux seuls comptes approuvés. Les plateformes de protection des terminaux doivent également renforcer les contrôles d’auto-protection pour résister à l’arrêt forcé des processus et services de sécurité.

Réponse

Lorsque ce comportement est détecté, les organisations doivent alerter sur la résiliation suspecte de processus AV ou EDR, isoler l’hôte impacté, conserver les preuves judiciaires des modifications de fichier et de registre, et enquêter sur l’accès à LSASS lié au vol d’identifiants. La réponse aux incidents doit suivre la chaîne d’attaque observée assez rapidement pour contenir l’intrusion avant que le chiffrement par ransomware ne commence.

Exécution de simulation

Prérequis : La vérification préliminaire de télémétrie et de référence doit avoir réussi.

• Narrative de l’attaque et commandes :

  L’adversaire a obtenu des droits administratifs sur l’hôte victime et souhaite neutraliser la protection des terminaux avant de déployer les charges utiles de ransomware. En utilisant l’utilitaire légitime HRSword.exe, ils émettent une commande qui arrête le service antivirus (avservice) et désactive son redémarrage automatique, assurant que le défenseur ne peut pas récupérer le service pendant la fenêtre d’attaque. La commande est exécutée directement dans une console PowerShell pour générer un événement clair de création de processus Sysmon correspondant à la règle de détection.

• Script de test de régression :

  <# 
  Simulation de l'utilisation de HRSword.exe pour arrêter un service AV et en désactiver le redémarrage.
  Ce script doit être exécuté avec des privilèges élevés (Administrateur).
  #>
  
  # Variables
  $hrswordPath = "$env:ProgramFilesHRSwordHRSword.exe"
  $serviceName = "avservice"
  
  # Assurez-vous que HRSword.exe existe (créez une simulation si ce n'est pas le cas)
  if (-Not (Test-Path $hrswordPath)) {
      Write-Host "Création d'un faux HRSword.exe pour la simulation..."
      # Créez un exécutable factice (une copie de cmd.exe) juste pour les besoins de journalisation
      Copy-Item "$env:windirSystem32cmd.exe" $hrswordPath -Force
  }
  
  # Exécutez la ligne de commande exacte que la règle Sigma surveille
  $command = "& `"$hrswordPath`" /service stop $serviceName /disable"
  Write-Host "Exécution : $command"
  Invoke-Expression $command
  
  # Optionnel : Enregistrer un événement personnalisé pour indiquer l'achèvement (aide à vérifier l'ensemble des processus)
  Write-EventLog -LogName Application -Source "HRSwordSimulation" -EventId 3000 -EntryType Information -Message "Simulation de l'arrêt de service par HRSword terminée."

• Commandes de nettoyage :

  <#
  Restaurez le service AV à son état d'origine et retirez l'exécutable simulé.
  #>
  
  # Redémarrez le service AV (s'il existe)
  $serviceName = "avservice"
  if (Get-Service -Name $serviceName -ErrorAction SilentlyContinue) {
      Write-Host "Redémarrage du service $serviceName ..."
      Start-Service -Name $serviceName -ErrorAction SilentlyContinue
  }
  
  # Retirer le faux HRSword.exe (s'il a été créé)
  $hrswordPath = "$env:ProgramFilesHRSwordHRSword.exe"
  if (Test-Path $hrswordPath) {
      Write-Host "Suppression du faux HRSword.exe ..."
      Remove-Item $hrswordPath -Force
  }
  
  # Effacer l'entrée du journal d'événements personnalisé
  Get-EventLog -LogName Application -Source "HRSwordSimulation" -After (Get-Date).AddMinutes(-10) | Remove-EventLog