Dire-Wolf-Ransomware: So überprüfen und stärken Sie Ihre Abwehrmaßnahmen

Zusammenfassung

Dire Wolf ist eine Doppel-Erpressungs-Ransomware-Familie, die einen auf Go basierenden, UPX-gepackten Verschlüsseler verwendet. Der Bedrohungsakteur stiehlt sensible Daten, bevor er Dateien mit ChaCha20-Verschlüsselung verschlüsselt, und stört die Wiederherstellung, indem er Schattenkopien löscht und die Windows-Wiederherstellung deaktiviert. Sie zielt auf verschiedene Sektoren ab und nutzt eine Tor-gehostete Leak-Site zur Erpressung.

Untersuchung

Der Bericht beschreibt die betrieblichen Mechaniken von Dire Wolf, einschließlich seiner Startup-Überprüfungen, Verteidigungsbeeinträchtigungstechniken und Verschlüsselungsmethodik. Er identifiziert spezifische Befehle, die zur Protokolllöschung, Schattenkopie-Löschung und Dienstbeendigung verwendet werden, um eine erfolgreiche Erpressung zu erleichtern.

Minderung

Organisationen sollten Einstiegspunkte wie RDP, VPN und E-Mail sichern, um den Erstzugriff zu verhindern. Die Implementierung einer robusten Überwachung der Schattenkopie-Löschung, Protokollmanipulation und unbefugten Dienstbeendigung ist entscheidend. Die Validierung von Sicherheitskontrollen gegen Störungen bei Backup und Wiederherstellung wird ebenfalls empfohlen.

Reaktion

Bei Entdeckung sollten betroffene Systeme isoliert werden, um weitere Verschlüsselung und Datenexfiltration zu verhindern. Überprüfen Sie Ereignisprotokolle (wenn nicht gelöscht) und die Integrität der Backups, um das Ausmaß der Auswirkungen zu bewerten. Aktivieren Sie die Protokolle zur Reaktion auf Vorfälle, um die Doppel-Erpressungs-Bedrohung zu verwalten und potenzielle unbefugte Zugriffe über Drittanbieter oder kompromittierte Anmeldedaten zu untersuchen.

Simulation Ausführung

Voraussetzung: Der Telemetrie- & Baseline-Pre-Flight-Check muss bestanden sein.

Rationale: In diesem Abschnitt wird die präzise Ausführung der gegnerischen Technik (TTP) beschrieben, die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die exakte Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffsübersicht & Befehle: Der Gegner hat erfolgreich das Dire Wolf Ransomware-Payload bereitgestellt. Um sicherzustellen, dass das Opfer „Systemwiederherstellung“ oder frühere Snapshots nicht zur Dateiwiederherstellung verwenden kann und um Forensiker daran zu hindern, die Ausführungskette in den Anwendungsprotokollen zu sehen, führt der Angreifer ein dreistufiges Bereinigungsskript aus. Zuerst verwenden sie vssadmin um alle Schattenkopien zu löschen. Zweitens verwenden sie wevtutil um das Anwendungsereignisprotokoll zu löschen. Schließlich verwenden sie den del Befehl, um ihre eigene ausführbare Datei von der Festplatte zu entfernen. Diese Reihenfolge soll den Effekt der Verschlüsselung maximieren, indem alle Sicherheitsnetze entfernt werden.

• Regressionstest-Skript:

  # Simulationsskript: Dire Wolf Bereinigungssequenz
  # Hinweis: Dieses Skript erfordert Administratorrechte, um Protokolle und Schattenkopien zu löschen.
  
  $dropperPath = "$env:TEMPdirewolf_payload.exe"
  
  # 1. Erstellen Sie die "bösartige" Datei, die später gelöscht werden soll
  New-Item -Path $dropperPath -ItemType File -Force
  Write-Host "[+] Dummy-Payload unter $dropperPath erstellt"
  
  # 2. Simulation der Schattenkopien-Löschung (T1490)
  Write-Host "[!] Simulation der Schattenkopien-Löschung..."
  Start-Process "vssadmin.exe" -ArgumentList "delete shadows /all /quiet" -Wait
  
  # 3. Simulation der Protokolllöschung (T1499.001)
  Write-Host "[!] Simulation der Anwendungsprotokoll-Löschung..."
  Start-Process "wevtutil.exe" -ArgumentList "cl Application" -Wait
  
  # 4. Simulation der Löschung der Ransomware-Executable (T1561)
  Write-Host "[!] Simulation der Payload-Löschung..."
  # Wir verwenden CMD, um sicherzustellen, dass der 'del'-Befehlsstring genau wie in der Sigma-Regel erfasst wird
  Start-Process "cmd.exe" -ArgumentList "/c del $dropperPath" -Wait
  
  Write-Host "[+] Simulation abgeschlossen. Überprüfen Sie die SIEM auf Alarm."

• Bereinigungsbefehle:

  # Bereinigung: Versuch, einen Dummy-Anwendungsprotokolleintrag zu erstellen, um den Zustand "gelöscht" zu mildern
  # (Hinweis: Sie können ein Protokoll nicht "zurücksetzen", aber Sie können den normalen Betrieb wieder aufnehmen)
  Write-EventLog -LogName Application -Source "Application Error" -EventID 100 -EntryType Error -Message "Nach-Simulations-Bereinigung: System in Normalzustand zurückgesetzt."