Зловмисник Dire Wolf: Як перевірити та зміцнити захист

Резюме

Dire Wolf — це сімейство подвійного зловмисницького програмного забезпечення, яке використовує шифратор на базі Go, упакований за допомогою UPX. Загрозлива особа викрадає конфіденційні дані перед шифруванням файлів за допомогою шифрування ChaCha20 і перешкоджає відновленню, видаляючи тіньові копії та вимикаючи відновлення Windows. Воно націлене на різні сектори та використовує сайт утилізації на Tor для вимагання.

Розслідування

Звіт описує механізми роботи Dire Wolf, включаючи перевірки при запуску, техніки порушення безпеки та методологію шифрування. Він ідентифікує конкретні команди, які використовуються для очищення журналів, видалення тіньових копій і завершення роботи сервісів для забезпечення успішного вимагання.

Пом’якшення

Організації повинні забезпечувати точки входу, такі як RDP, VPN та електронна пошта, щоб запобігти початковому доступу. Впровадження надійного моніторингу видалення тіньових копій, маніпуляцій з журналами подій і несанкціонованого завершення роботи сервісів є критично важливим. Рекомендується валідація заходів безпеки проти порушення резервного копіювання та відновлення.

Відповідь

Після виявлення ізолюйте постраждалі системи, щоб запобігти подальшому шифруванню та ексфільтрації даних. Перегляньте журнали подій (якщо вони не очищені) та цілісність резервного копіювання для оцінки масштабу впливу. Активуйте протокол реагування на інциденти, щоб управляти загрозою подвійного зловмисництва та розслідувати можливий несанкціонований доступ через сторонніх постачальників або зламані облікові дані.

Симуляція виконання

Необхідна умова: Тестування попередніх умов телеметрії та базової лінії повинно бути пройдено.

Обґрунтування: У цій частині детально описано точне виконання техніки супротивника (TTP), створеної для ініціювання правила детекції. Команди та наратив ПОВИННІ прямо відображати ідентифіковані TTPs та мають генерувати точну телеметрію, очікувану згідно з логікою детекції. Абстрактні або несумісні приклади можуть призвести до помилкової діагностики.

• Наратив атаки та команди: Супротивнику вдалося розгорнути завантаження зловмисного програмного забезпечення Dire Wolf. Щоб жертва не могла використовувати “Відновлення системи” або попередні знімки для відновлення файлів, а також щоб запобігти тому, що судові експерти бачили ланцюг виконання в журналах застосунків, зловмисник виконує сценарій очищення, що складається з трьох етапів. По-перше, вони використовують vssadmin для очищення всіх тіньових копій. Потім вони використовують wevtutil для очищення журналу подій застосунків. Нарешті, вони використовують del команду для видалення власного виконуваного файлу з диска. Ця послідовність призначена для максимізації впливу шифрування шляхом видалення всіх страхувальних мереж.

• Сценарій тестування регресії:

  # Сценарій симуляції: послідовність очищення Dire Wolf
  # Примітка: Для очищення журналів та тіньових копій цей сценарій вимагає прав адміністратора.
  
  $dropperPath = "$env:TEMPdirewolf_payload.exe"
  
  # 1. Створіть "зловмисний" файл, який буде видалено пізніше
  New-Item -Path $dropperPath -ItemType File -Force
  Write-Host "[+] Створено фіктивний завантажувач за адресою $dropperPath"
  
  # 2. Імітація видалення тіньових копій (T1490)
  Write-Host "[!] Імітація видалення тіньових копій..."
  Start-Process "vssadmin.exe" -ArgumentList "delete shadows /all /quiet" -Wait
  
  # 3. Імітація очищення журналу подій (T1499.001)
  Write-Host "[!] Імітація очищення журналу подій застосунків..."
  Start-Process "wevtutil.exe" -ArgumentList "cl Application" -Wait
  
  # 4. Імітація видалення виконуваного файлу ransomware (T1561)
  Write-Host "[!] Імітація видалення завантажувача..."
  # Ми використовуємо CMD, щоб гарантувати, що командний рядок 'del' буде записано точно так, як за умовою Sigma
  Start-Process "cmd.exe" -ArgumentList "/c del $dropperPath" -Wait
  
  Write-Host "[+] Завершена симуляція. Перевірте SIEM для попередження."

• Команди очищення:

  # Очищення: спроба відновити запис журналу застосунків для виправлення 'очищеного' стану 
  # (Примітка: Ви не можете 'вичистити' журнал, але ви можете відновити нормальні операції)
  Write-EventLog -LogName Application -Source "Application Error" -EventID 100 -EntryType Error -Message "Після симуляції очищення: система відновлена до нормального стану."