フォローする 
概要
Dire Wolfは、GoベースのUPXでパックされた暗号化ツールを使用するダブルエクスプロイトのランサムウェアファミリーです。攻撃者はChaCha20暗号化を使用してファイルを暗号化する前に機密データを盗み、シャドウコピーの削除とWindows Recoveryの無効化により復旧を妨害します。さまざまな業界をターゲットにし、Torをホストする漏洩サイトを利用して恐喝を行います。
調査
このレポートは、Dire Wolfの運用メカニクスを詳細に説明しており、起動チェック、防御機能低下技術、暗号化方法が含まれます。ログのクリアリング、シャドウコピーの削除、サービスの停止に使用される特定のコマンドを特定し、成功したエクストーションを促進します。
緩和策
組織は初期アクセスを防ぐために、RDP、VPN、メールなどのエントリポイントを確保する必要があります。シャドウコピーの削除、イベントログの改ざん、不正なサービス停止のための強力な監視を実施することが重要です。バックアップとリカバリの妨害に対するセキュリティコントロールの検証も推奨されます。
対応
検出時は、さらなる暗号化とデータ流出を防ぐために影響を受けたシステムを隔離してください。インパクトの範囲を評価するためにイベントログ（クリアされていない場合）とバックアップの整合性を確認してください。ダブルエクスプロイトの脅威を管理し、サードパーティプロバイダまたは侵害されたクレデンシャルを介しての潜在的な不正アクセスを調査するためにインシデント対応プロトコルを適用します。
攻撃の流れ
この部分はまだ更新中です。
検出
疑わしいWbadminツールの活動（cmdline経由）
疑わしいランサムウェアのサービス停止（cmdline経由）
疑わしいBcdedit実行（cmdline経由）
疑わしいWevtutilの使用による防御回避活動の可能性（cmdline経由）
疑わしいVSSADMINの活動（cmdline経由）
Powershell、CMD、WMIを介したシャドウコピーの作成または削除（cmdline経由）
Dire WolfランサムウェアのMutexと完了マーカーの検出[Windowsシステム]
Dire Wolfランサムウェアのログとシャドウコピー削除[Windowsファイルイベント]
Dire Wolfランサムウェアのインジケーターを検出する[Windowsプロセス作成]
シミュレーションの実行
前提条件：テレメトリとベースラインの事前チェックが完了している必要があります。
根拠：このセクションは、検出ルールをトリガーするために設計された敵の技術（TTP）の正確な実行を詳述します。コマンドと物語は、特定されたTTPを直接反映し、検出ロジックが期待する正確なテレメトリを生成することを目的にしています。抽象的または無関係な例は誤診につながります。
-
攻撃の物語とコマンド： 攻撃者はDire Wolfランサムウェアのペイロードを正常に展開しました。“システムの復元”や以前のスナップショットを使用してファイルを回復することを防ぎ、フォレンジック調査官がアプリケーションログで実行チェーンを見るのを防ぐために、攻撃者は3段階のクリーンアップスクリプトを実行します。まず、
vssadminを使用してすべてのシャドウコピーを消去します。次に、wevtutilを使ってアプリケーションイベントログをクリアします。最後に、delコマンドを使って、自身の実行ファイルをディスクから削除します。この一連の処理は、暗号化の影響を最大化するために設計されています。 -
回帰テストスクリプト：
# シミュレーションスクリプト：Dire Wolfクリーンアップシーケンス # 注：ログとシャドウコピーをクリアするには管理者権限が必要です。 $dropperPath = "$env:TEMPdirewolf_payload.exe" # 1. 後で削除される“悪意のある”ファイルを作成します New-Item -Path $dropperPath -ItemType File -Force Write-Host "[+] ダミーペイロードを$dropperPathに作成しました" # 2. シャドウコピー削除のシミュレーション (T1490) Write-Host "[!] シャドウコピー削除をシミュレーションしています..." Start-Process "vssadmin.exe" -ArgumentList "delete shadows /all /quiet" -Wait # 3. イベントログクリアリングのシミュレーション (T1499.001) Write-Host "[!] アプリケーションログクリアリングをシミュレーションしています..." Start-Process "wevtutil.exe" -ArgumentList "cl Application" -Wait # 4. ランサムウェア実行ファイルの削除のシミュレーション (T1561) Write-Host "[!] ペイロードの削除をシミュレーションしています..." # CMDを使用して、Sigmaルールに従った'del'コマンド文字列を正確にキャプチャします Start-Process "cmd.exe" -ArgumentList "/c del $dropperPath" -Wait Write-Host "[+] シミュレーション完了。SIEMでアラートを確認してください。" -
クリーンアップコマンド：
# クリーンアップ：'クリア済み'状態を緩和するためにダミーアプリケーションログエントリを再作成する試み # （注：ログを'クリア解除'することはできませんが、通常の操作を再開できます） Write-EventLog -LogName Application -Source "Application Error" -EventID 100 -EntryType Error -Message "シミュレーション後のクリーンアップ：システムは正常状態に復元されました。"
