Play Ransomware-Verschlüsselung: So funktioniert’s

Zusammenfassung

Play, auch bekannt als PlayCrypt, ist eine produktive Ransomware-Gruppe, die ein geschlossenes Betriebsmodell verwendet, um Doppel-Erpressungsangriffe durchzuführen. Die Gruppe exfiltriert typischerweise sensible Daten, bevor sie Verschlüsselungsmechanismen einsetzt und Lösegeldzahlungen fordert. Ihre Kampagnen zielen häufig auf kritische Infrastrukturen und Gesundheitsorganisationen in Nordamerika, Südamerika und Europa ab.

Untersuchung

Die forensische Analyse eines kürzlichen Vorfalls zeigte den ersten Zugang über ein kompromittiertes SonicWall VPN, gefolgt von der Bereitstellung von SystemBC für C2. Die Angreifer missbrauchten das eigene Deinstallationsprogramm von SentinelOne des Opfers, um EDR zu deaktivieren, und verteilten Werkzeuge wie PsExec über die SYSVOL-Freigabe. Datenstaging wurde auch im niedrig frequentierten C:PerfLogs Verzeichnis mit WinRAR und WinSCP beobachtet.

Abschwächung

Organisationen sollten vom Anbieter authentifizierten Manipulationsschutz aktivieren, um die unbefugte Entfernung von EDR-Tools zu verhindern. Multi-Faktor-Authentifizierung sollte bei allen VPN-Diensten erzwungen werden, um das Risiko eines anfänglichen Zugriffs über entfernte Infrastruktur zu verringern. Das Überwachen von großvolumigen SFTP-Aktivitäten oder ungewöhnlichen WinSCP-Übertragungen kann auch helfen, versuchte Datenexfiltration zu erkennen.

Reaktion

Wenn Play Ransomware-Aktivität vermutet wird, sollten Organisationen sofort ihre Reaktionsprozeduren bei Vorfällen aktivieren, die sowohl die Eindämmung von Datenpannen als auch die Wiederherstellung von Verschlüsselungen abdecken. Windows-Ereignis-ID 1102, die das Löschen von Ereignisprotokollen anzeigt, sollte als hochvertrauenswürdiges Zeichen für bevorstehende Verschlüsselung behandelt werden. Reagierende sollten auch unbefugte ausführbare Dateien in C:PerfLogs und SystemBC DLLs, die im Windows-Aufgabenverzeichnis gespeichert sind, untersuchen.

Simulation Ausführung

Voraussetzung: Die Telemetrie- und Basislinien-Vorabprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die exakte Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffsnarrative & Befehle: Der Angreifer hat erfolgreich einen Arbeitsplatz kompromittiert und bereitet sich darauf vor, Ransomware (T1486) einzusetzen. Um zu verhindern, dass das SOC den ersten Eingang und die seitliche Bewegung untersucht, entscheidet sich der Angreifer, die forensischen Spuren zu löschen. Der Angreifer führt einen Befehl mithilfe von wevtutil.exe, ein natives Windows-Dienstprogramm, um das Sicherheitsereignisprotokoll zu löschen. Diese Aktion ist eine klassische antiforensische Technik, die darauf abzielt, die Präsenz unbefugter Werkzeuge und Kontonutzung zu verbergen.

• Regression Testscript:

  # Simulationsskript: Sicherheitsereignisprotokoll löschen, um Ereignis-ID 1102 auszulösen
  # Hinweis: Dies muss in einer erhöhten (Administrator-)PowerShell-Sitzung ausgeführt werden.
  
  Write-Host "[!] Simulation starten: Sicherheitsereignisprotokoll löschen..." -ForegroundColor Yellow
  
  try {
      # Verwenden von wevtutil, um den Sicherheitskanal zu löschen
      wevtutil cl Security
  
      if ($LASTEXITCODE -eq 0) {
          Write-Host "[+] Erfolg: Sicherheitsprotokoll gelöscht. Überprüfen Sie SIEM auf Ereignis-ID 1102." -ForegroundColor Green
      } else {
          Write-Host "[-] Misserfolg: Protokoll konnte nicht gelöscht werden. Stellen Sie sicher, dass Sie als Administrator ausgeführt werden." -ForegroundColor Red
      }
  } catch {
      Write-Host "[-] Fehler: $($_.Exception.Message)" -ForegroundColor Red
  }

• Aufräumbefehle:

  # Aufräumen: Beachten Sie, dass nachdem das Protokoll gelöscht wurde, es nicht 'ungelöscht' werden kann.
  # Dieser Befehl stellt nur sicher, dass wir den Zustand anerkennen.
  Write-Host "[*] Aufräumen: Simulation abgeschlossen. Das Sicherheitsprotokoll ist jetzt leer. Manuelles Log-Rotation oder Systemneustart kann erforderlich sein, um die grundlegenden Protokollierungsniveaus wiederherzustellen." -ForegroundColor Cyan