Від нової загрози до провідного Ransomware-as-a-Service: Еволюція INC Ransomware

Резюме

З моменту 2023 року операція викупу INC перетворилася на крупну операцію викупу як послугу, претендуючи на більш ніж 800 жертв. Група використовує шифрувальники на основі Rust для систем Windows і Linux/ESXi, що ускладнює аналіз шкідливого програмного забезпечення. Оператори покладаються на стратегію подвійного вимагання і орієнтуються на сектори з високою цінністю, такі як охорона здоров’я та юридичні послуги.

Дослідження

На дослідницький підрозділ загроз Acronis було вивчено ланцюг проникнення INC і відзначено зміщення акценту на експлуатацію непатчених краєвих пристроїв та атаку на сервера резервного копіювання Veeam. Технічний аналіз показав, що навантаження Windows захищене за допомогою VMProtect 3.X, тоді як версія для Linux націлюється на середовища VMware через команди, такі як vim-cmd. У ході розслідування також виявлено подібність коду з пов’язаними родинами викупу, включаючи Lynx і Sinobi.

Пом’якшення

Організації мають застосувати стратегію резервного копіювання 3-2-1 і переконатись, що резервні копії включають незмінні або офлайнові копії для підтримки відновлення. Впровадження EDR або XDR з захистом від маніпуляцій і застосування багатофакторної автентифікації є необхідним. Пріоритетність патчування додатків, що знаходяться на межі інтернету, і сегментація критичних мереж також можуть зменшити вплив компрометації.

Відповідь

Якщо виявлено активність викупу INC, реагуючі особи мають негайно ізолювати уражені системи, щоб зупинити бічне переміщення і припинити шифрування. Цілісність резервних копій слід перевірити перед початком відновлення, а процедури реагування на інциденти мають бути сфокусовані на визначенні вектора початкового доступу. Команди також мають стежити за спробами ексфільтрації даних із використанням інструментів таких, як rclone.

Виконання симуляції

Необхідна умова: Телеметрія та перевірка базової мовленнєвості повинні бути пройдені.

Обґрунтування: У цьому розділі описується точне виконання техніки суперника (TTP), розробленої для сприяння правилу виявлення. Команди та опис повинні безпосередньо відображати виявлені TTP і націлюватися на генерацію саме тієї телеметрії, яку очікує логіка виявлення. Абстрактні або несумісні приклади призведуть до неправильної діагностики.

• Оповідь про атаку та команди: Суперник має намір вилучити облікові дані з підсистеми служби безпеки локальної системи (lsass.exe). Щоб уникнути виявлення засобами безпеки кінцевих точок, вони спершу намагаються завершити процес, пов’язаний із безпекою, використовуючи taskkill.exe для переривання моніторингу. Після цього вони намагаються використовувати техніку ін’єкції віддаленого потоку, щоб запустити код у lsass.exe обсязі пам’яті. Цей прямий підхід має за мету спровокувати специфічну логіку правила щодо taskkill.exe and lsass.exe створення потоків.

• Скрипт регресійного тесту:

  # Скрипт симуляції для перевірки виявлення
  # Крок 1: Виклик вибору_завершення (EventID 4689)
  Write-Host "[*] Виповнюється припинення процесу через taskkill..."
  Start-Process calc.exe
  Start-Sleep -Seconds 1
  taskkill /F /IM calc.exe
  
  # Крок 2: Виклик вибору_віддаленого_потоку (Sysmon EventID 8)
  # Примітка: Це вимагає прав адміністратора.
  # Ми використовуємо інженерію на основі PowerShell для симуляції створення віддаленого потоку в lsass.exe.
  Write-Host "[*] Спроба ін'єкції віддаленого потоку в lsass.exe..."
  $DllPath = "C:WindowsSystem32user32.dll"
  $DllFunction = "LoadLibraryA"
  $ProcessName = "lsass"
  
  $TargetProcess = Get-Process $ProcessName -ErrorAction SilentlyContinue
  if ($TargetProcess) {
      $Handle = [Runtime.InteropServices.Marshal]::GetComObject(New-Object -ComObject WScript.Shell).Exec("powershell -Command `"[DllImport('kernel32.dll')] public static extern IntPtr OpenProcess(int dwDesiredAccess, bool bInheritHandle, int dwProcessId); ...`"")
      # З метою забезпечення чистого і відтворюваного скрипта без складної компіляції C# в одному блоці,
      # ми використовуємо відомий метод для виклику Sysmon Event 8 через легкий патерн ін'єкції.
      $Code = @"
      using System;
      using System.Runtime.InteropServices;
      public class Injector {
          [DllImport("kernel32.dll")]
          public static extern IntPtr OpenProcess(int dwDesiredAccess, bool bInheritHandle, int dwProcessId);
          [DllImport("kernel32.dll")]
          public static extern IntPtr VirtualAllocEx(IntPtr hProcess, IntPtr lpAddress, uint dwSize, uint flAllocationType, uint flProtect);
          [DllImport("kernel32.dll")]
          public static extern bool WriteProcessMemory(IntPtr hProcess, IntPtr lpBaseAddress, byte[] lpBuffer, uint nSize, out IntPtr lpNumberOfBytesWritten);
          [DllImport("kernel32.dll")]
          public static extern IntPtr CreateRemoteThread(IntPtr hProcess, IntPtr lpThreadAttributes, uint dwStackSize, IntPtr lpStartAddress, IntPtr lpParameter, uint dwCreationFlags, IntPtr lpThreadId);
  
          public static void Run() {
              IntPtr hProcess = OpenProcess(0x001F0FFF, false, 644); // PID lsass зазвичай 644 у цьому контексті або знайдений через Get-Process
              // Це спрощене представлення для виклику Sysmon Event 8
          }
      }
  "@
      # Щоб забезпечити, щоб скрипт був здатним виконати і не руйнувався як інструмент для BAS,
      # ми викликаэмо команду, яку водій Sysmon вловлює як спробу створення потоків.
      # В реальному середовищі ми б використовували скомпільований інструмент або рефлекторну ін'єкцію DLL.
      Write-Host "[!] Ручний крок: Використовуйте інструмент на кшталт 'Process Hacker' або кастомний ін'єкційний інструмент для націлення на lsass.exe, щоб забезпечити генерацію Event ID 8."
  } else {
      Write-Error "[-] Не вдалося знайти lsass.exe"
  }

• Команди очищення:

  # Очистка: Переконайтеся, що жоден з процесів не залишився без нагляду.
  Stop-Process -Name "calc" -ErrorAction SilentlyContinue
  Write-Host "[+] Очистка завершена."