Зловживання законними низькорівневими інструментами для ухилення від виявлення антивірусом програм-вимагачів

Резюме

Стаття пояснює, як оператори зловмисного програмного забезпечення зловживають легітимними низькорівневими утилітами, такими як Process Hacker, IOBit Unlocker, PowerRun та подібними інструментами, щоб послабити антивірусний захист та захист кінцевих точок. Використовуючи підписані двійкові файли, нападники можуть отримати привілеї SYSTEM або навіть ядра, викрасти облікові дані та підготувати середовище для розгортання програм-вимагачів. У цій статті підкреслюється, як нейтралізація антивірусів еволюціонувала від базових сценаріїв до потужних наборів можливостей у сучасних пропозиціях Ransomware-as-a-Service. Також згадуються реальні групи програм-вимагачів, які прийняли ці методи.

Розслідування

Розслідування описує двоетапний шаблон вторгнення, в якому противники спочатку використовують низькорівневі інструменти для підвищення привілеїв і ухилення від антивірусного захисту, а потім переходять до крадіжки облікових даних, втручання в ядро та виконання навантаження програми-вимагача. Активність інструменту співвіднесена з техніками MITRE ATT&CK, включаючи T1548.002, T1562.001 і T1003.001. Приклади випадків пов’язують ці утиліти з операціями програм-вимагачів, такими як LockBit 3.0, Phobos, MedusaLocker та інші.

Пом’якшення

Рекомендовані заходи пом’якшення включають впровадження дозволеного списку застосунків, стеження за масштабним завершенням процесів, аудит змін у реєстрі, що впливають на налаштування антивірусів, та обмеження виконання адміністративних утиліт лише для схвалених облікових записів. Платформи захисту кінцевих точок також повинні укріплювати засоби самооборони, щоб протистояти вимушеному завершенню процесів і служб безпеки.

Реагування

При виявленні такої поведінки організації повинні негайно повідомляти про підозріле завершення процесів AV або EDR, ізолювати постраждалий хост, зберігати судово-медичні докази змін у реєстрі та файлах, а також розслідувати доступ до LSASS, пов’язаний з крадіжкою облікових даних. Відповідь на інцидент повинна слідувати за спостережуваним шляхом вбивства достатньо швидко, щоб обмежити вторгнення до початку шифрування програмою-вимагачем.

Виконання симуляції

Передумова: Телеметрія та перевірка базової лінії повинна пройти перед проведенням приступу.

• Сценарій атаки та команди:

  Противник отримав адміністративні права на хост жертви і хоче нейтралізувати захист кінцевої точки перед розгортанням навантаження програми-вимагача. Використовуючи легітимну утиліту HRSword.exe, вони видають команду, яка зупиняє службу антивірусу (avservice) і відключає її автоматичний перезапуск, забезпечуючи, що захисник не може відновити службу під час вікна атаки. Команда виконується безпосередньо в консолі PowerShell для генерування чіткого повідомлення про створення Sysmon процесу, яке відповідає правилу виявлення.

• Скрипт регресійного тесту:

  <# 
  Симуляція використання HRSword.exe для зупинки AV-сервісу та відключення його перезапуску.
  Цей скрипт повинен бути запущений з розширеними (Адміністраторськими) привілеями.
  #>
  
  # Змінні
  $hrswordPath = "$env:ProgramFilesHRSwordHRSword.exe"
  $serviceName = "avservice"
  
  # Забезпечити існування HRSword.exe (створіть макет, якщо ні)
  if (-Not (Test-Path $hrswordPath)) {
      Write-Host "Створення макету HRSword.exe для симуляції..."
      # Створити фіктивний виконуваний файл (копія cmd.exe) тільки для цілей логування
      Copy-Item "$env:windirSystem32cmd.exe" $hrswordPath -Force
  }
  
  # Виконати точну команду, яку відстежує правило Sigma
  $command = "& `"$hrswordPath`" /service stop $serviceName /disable"
  Write-Host "Виконання: $command"
  Invoke-Expression $command
  
  # Необов'язково: Зареєструвати користувацьку подію, щоб вказати на завершення (допомагає перевірити від початку до кінця)
  Write-EventLog -LogName Application -Source "HRSwordSimulation" -EventId 3000 -EntryType Information -Message "Симуляція зупинки служби HRSword завершена."

• Команди очищення:

  <#
  Відновити AV-сервіс до його вихідного стану і видалити фіктивний виконуваний файл.
  #>
  
  # Перезапустити AV-сервіс (якщо існує)
  $serviceName = "avservice"
  if (Get-Service -Name $serviceName -ErrorAction SilentlyContinue) {
      Write-Host "Перезапуск служби $serviceName ..."
      Start-Service -Name $serviceName -ErrorAction SilentlyContinue
  }
  
  # Видалити фіктивний HRSword.exe (якщо був створений)
  $hrswordPath = "$env:ProgramFilesHRSwordHRSword.exe"
  if (Test-Path $hrswordPath) {
      Write-Host "Видалення фіктивного HRSword.exe ..."
      Remove-Item $hrswordPath -Force
  }
  
  # Очистити запис події користувача
  Get-EventLog -LogName Application -Source "HRSwordSimulation" -After (Get-Date).AddMinutes(-10) | Remove-EventLog