Abuso di Strumenti Legittimi a Basso Livello per Aiutare il Ransomware a Evitare il Rilevamento Antivirus

Sintesi

L’articolo spiega come gli operatori di ransomware abusino di utility legittime di basso livello come Process Hacker, IOBit Unlocker, PowerRun e strumenti simili per indebolire antivirus e protezione degli endpoint. Sfruttando in modo improprio questi binari firmati, gli attaccanti possono ottenere privilegi a livello SYSTEM o addirittura kernel, rubare credenziali e preparare l’ambiente per il dispiegamento del ransomware. L’articolo evidenzia come la neutralizzazione degli antivirus si sia evoluta da semplici script a set di funzionalità integrati nelle moderne offerte di Ransomware-as-a-Service. Fa riferimento anche a gruppi di ransomware nel mondo reale che hanno adottato questi metodi.

Indagine

L’indagine descrive un modello di intrusione in due fasi in cui gli avversari utilizzano prima strumenti di basso livello per l’escalation dei privilegi e l’evasione dell’antivirus, quindi si spostano al furto di credenziali, alla manomissione del kernel e all’esecuzione del payload del ransomware. L’attività degli strumenti è mappata sulle tecniche del MITRE ATT&CK, incluse T1548.002, T1562.001 e T1003.001. Esempi di casi collegano queste utility ad operazioni di ransomware come LockBit 3.0, Phobos, MedusaLocker e altri.

Mitigazione

Le mitigazioni raccomandate includono l’applicazione di una whitelist delle applicazioni, il monitoraggio della terminazione su larga scala dei processi, il controllo delle modifiche al registro che influenzano le impostazioni antivirus e la limitazione dell’esecuzione delle utility amministrative solo agli account approvati. Le piattaforme di protezione degli endpoint dovrebbero anche rafforzare i controlli di autoprotezione per resistere allo spegnimento forzato dei processi e dei servizi di sicurezza.

Risposta

Quando viene rilevato questo comportamento, le organizzazioni dovrebbero avvisare in caso di terminazione sospetta dei processi AV o EDR, isolare l’host interessato, conservare le prove forensi delle modifiche al registro e ai file, e indagare per accessi a LSASS collegati al furto di credenziali. La risposta all’incidente dovrebbe seguire rapidamente la catena di attacco osservata per contenere l’intrusione prima che inizi la crittografia del ransomware.

Esecuzione di simulazione

Prerequisito: Il controllo pre‑flight di Telemetria e Baseline deve essere superato.

• Narrazione dell’attacco e comandi:

  L’avversario ha ottenuto diritti amministrativi sull’host della vittima e vuole neutralizzare la protezione dell’endpoint prima di distribuire payload di ransomware. Utilizzando l’utility legittima HRSword.exe, emettono un comando che ferma il servizio antivirus (avservice) e ne disabilita il riavvio automatico, assicurando che il difensore non possa ripristinare il servizio durante la finestra di attacco. Il comando viene eseguito direttamente in una console PowerShell per generare un chiaro evento di creazione del processo Sysmon che corrisponde alla regola di rilevamento.

• Script di test di regressione:

  <# 
  Simulazione dell'uso di HRSword.exe per fermare un servizio AV e disabilitarne il riavvio.
  Questo script deve essere eseguito con privilegi elevati (Amministratore).
  #>
  
  # Variabili
  $hrswordPath = "$env:ProgramFilesHRSwordHRSword.exe"
  $serviceName = "avservice"
  
  # Assicurarsi che HRSword.exe esista (crea un mock se non esiste)
  if (-Not (Test-Path $hrswordPath)) {
      Write-Host "Creazione di un mock HRSword.exe per la simulazione..."
      # Creare un eseguibile dummy (una copia di cmd.exe) solo a fini di registrazione
      Copy-Item "$env:windirSystem32cmd.exe" $hrswordPath -Force
  }
  
  # Eseguire la riga di comando esatta che la regola Sigma osserva
  $command = "& `"$hrswordPath`" /service stop $serviceName /disable"
  Write-Host "Esecuzione: $command"
  Invoke-Expression $command
  
  # Facoltativo: Registrare un evento personalizzato per indicare il completamento (aiuta a verificare end-to-end)
  Write-EventLog -LogName Application -Source "HRSwordSimulation" -EventId 3000 -EntryType Information -Message "Simulazione di arresto del servizio HRSword completata."

• Comandi di pulizia:

  <#
  Ripristinare il servizio AV al suo stato originale e rimuovere l'eseguibile mock.
  #>
  
  # Riavviare il servizio AV (se esiste)
  $serviceName = "avservice"
  if (Get-Service -Name $serviceName -ErrorAction SilentlyContinue) {
      Write-Host "Riavvio del servizio $serviceName ..."
      Start-Service -Name $serviceName -ErrorAction SilentlyContinue
  }
  
  # Rimuovere il mock HRSword.exe (se è stato creato)
  $hrswordPath = "$env:ProgramFilesHRSwordHRSword.exe"
  if (Test-Path $hrswordPath) {
      Write-Host "Rimuovendo il mock HRSword.exe ..."
      Remove-Item $hrswordPath -Force
  }
  
  # Cancellare la voce di log evento personalizzata
  Get-EventLog -LogName Application -Source "HRSwordSimulation" -After (Get-Date).AddMinutes(-10) | Remove-EventLog