Ransomware Dire Wolf: Jak Walidować i Wzmacniać Obrony

Podsumowanie

Dire Wolf to rodzina ransomware stosująca podwójne wymuszenie, wykorzystująca szyfrator oparty na Go z pakowaniem UPX. Grupa zagrożeń kradnie wrażliwe dane przed zaszyfrowaniem plików przy użyciu szyfru ChaCha20 i zakłóca przywracanie, usuwając kopie zapasowe i wyłączając funkcję odzyskiwania systemu Windows. Celem są różne sektory, a w celu wymuszenia stosowany jest serwis wycieku hostowany w sieci Tor.

Śledztwo

Raport pokazuje operacyjną mechanikę Dire Wolf, w tym sprawdzanie podczas uruchamiania, techniki utrudniające obronę oraz metodologię szyfrowania. Identyfikuje konkretne komendy używane do czyszczenia logów, usuwania kopii zapasowych i zakończenia usług, aby ułatwić skuteczne wymuszenie.

Łagodzenie

Organizacje powinny zabezpieczyć punkty wejścia takie jak RDP, VPN i email, aby zapobiec początkowemu dostępowi. Implementacja solidnego monitorowania usunięcia kopii zapasowych, manipulacji logami zdarzeń oraz nieautoryzowanego zakończenia usług jest kluczowa. Również zaleca się weryfikację kontroli bezpieczeństwa względem zakłócenia kopii zapasowych i odzyskiwania.

Odpowiedź

Po wykryciu należy izolować zainfekowane systemy, aby zapobiec dalszemu szyfrowaniu i eksfiltracji danych. Przejrzenie logów zdarzeń (jeśli nie zostały wyczyszczone) i integralności kopii zapasowych pozwoli ocenić zakres wpływu. Należy wdrożyć protokoły reagowania na incydenty, aby zarządzać zagrożeniem podwójnego wymuszenia oraz badać potencjalne nieautoryzowane dostępy poprzez dostawców usług trzecich lub skompromitowane poświadczenia.

Symulacja Wykonania

Wymaganie wstępne: Test Telemetrii i weryfikacja bazowa muszą być zaliczone.

Uzasadnienie: Ta sekcja szczegółowo opisuje precyzyjne wykonanie techniki przeciwnika (TTP) zaprojektowanej w celu uruchomienia reguły wykrywania. Komendy i narracja MUSZĄ bezpośrednio odzwierciedlać zidentyfikowane TTP i mają na celu wygenerowanie dokładnie oczekiwanej telemetrii przez logikę detekcji. Abstrakcyjne lub niezwiązane przykłady będą prowadzić do błędnej diagnozy.

• Narracja ataku i komendy: Przeciwnik pomyślnie zainstalował ładunek ransomware Dire Wolf. Aby upewnić się, że ofiara nie może używać „Przywracania systemu” ani poprzednich migawek do odzyskania plików, oraz aby zapobiec śledczym kryminalistycznym w oglądaniu łańcucha wykonania w logach aplikacji, atakujący wykonuje trzystopniowy skrypt czyszczący. Najpierw używają vssadmin do wyczyszczenia wszystkich kopii zapasowych. Po drugie, używają wevtutil do wyczyszczenia logów zdarzeń aplikacji. Na koniec używają polecenia del do usunięcia własnego pliku wykonywalnego z dysku. Ta sekwencja ma na celu zmaksymalizowanie wpływu szyfrowania poprzez usunięcie wszystkich zabezpieczeń.

• Skrypt testowy regresji:

  # Skrypt symulacji: Sekwencja czyszczenia Dire Wolf
  # Uwaga: Ten skrypt wymaga uprawnień administracyjnych do czyszczenia logów i kopii zapasowych.
  
  $dropperPath = "$env:TEMPdirewolf_payload.exe"
  
  # 1. Utwórz "złośliwy" plik do późniejszego usunięcia
  New-Item -Path $dropperPath -ItemType File -Force
  Write-Host "[+] Utworzono fikcyjny ładunek w $dropperPath"
  
  # 2. Symulacja usunięcia kopii zapasowej (T1490)
  Write-Host "[!] Symulacja usunięcia kopii zapasowej..."
  Start-Process "vssadmin.exe" -ArgumentList "delete shadows /all /quiet" -Wait
  
  # 3. Symulacja czyszczenia logów zdarzeń (T1499.001)
  Write-Host "[!] Symulacja czyszczenia logów aplikacji..."
  Start-Process "wevtutil.exe" -ArgumentList "cl Application" -Wait
  
  # 4. Symulacja usunięcia pliku wykonywalnego ransomware (T1561)
  Write-Host "[!] Symulacja usunięcia ładunku..."
  # Używamy CMD, aby upewnić się, że ciąg polecenia 'del' jest dokładnie uchwycony zgodnie z regułą Sigma
  Start-Process "cmd.exe" -ArgumentList "/c del $dropperPath" -Wait
  
  Write-Host "[+] Symulacja zakończona. Sprawdź SIEM w poszukiwaniu alertu."

• Komendy czyszczące:

  # Czyszczenie: Próbujemy odtworzyć fikcyjny wpis logu aplikacji w celu złagodzenia stanu 'wyczyszczonego'
  # (Uwaga: Nie można 'anulować' czyszczenia logu, ale można wznowić normalną działalność)
  Write-EventLog -LogName Application -Source "Application Error" -EventID 100 -EntryType Error -Message "Sprzątanie po symulacji: System przywrócony do normalnego stanu."