SOC Prime Bias: Критична

24 Jun 2026 06:53 UTC
newspaper icon picussecurity.com

Як Sinobi Ransomware шифрує файли і знищує резервні копії

Author Photo
SOC Prime Team linkedin icon Стежити
Як Sinobi Ransomware шифрує файли і знищує резервні копії
shield icon

Detection stack

  • AIDR
  • Alert
  • ETL
  • Query


Резюме

Sinobi – це програмне забезпечення для шифрування за схемою послуг, ймовірно, оновлена версія програмного забезпечення Lynx, вперше виявлена у липні 2025 року. Воно використовує Curve25519 разом з AES-128-CTR для шифрування файлів і застосовує передові техніки знищення резервних копій, зокрема зловживання DeviceIoControl для видалення копій тома Shadow. Шкідливе програмне забезпечення також спорожнює Корзину та використовує API Менеджера перезапуску для закриття процесів, які тримають відкритими цільові файли.

Розслідування

Розслідування описало вторгнення, в якому афілійована особа використала вкрадені облікові дані керованого постачальника послуг третьої сторони для доступу до SonicWall SSL VPN. Після отримання доступу нападник підвищив привілеї, створюючи локальний і доменний обліковий запис адміністратора з назвою Довідка. Оператор потім відключив служби безпеки, змінюючи шляхи до бінарних файлів, і використовував RClone для ексфільтрації даних перед запуском шифрування.

Усунення

Захисники повинні забезпечити інфраструктуру VPN багатофакторною аутентифікацією та уважно перевіряти доступ керованих постачальників послуг третьої сторони. Організації також мають контролювати несанкціоноване створення облікових записів адміністраторів та підозрілі зміни конфігурації служби, особливо змінені шляхи до бінарних файлів. Захист копій тома Shadow та виявлення зловживань API Менеджера перезапуску може також допомогти перервати ланцюг програм-вимагачів.

Реакція

Якщо виявлено активність Sinobi, реагуючі повинні негайно ізолювати скомпрометовані облікові записи, особливо облікові записи з підвищеними правами, такі як Довідка. Несанкціоновані RClone процеси слід припинити, а всі зміни в службах у Windows Service Control Manager слід розслідувати. Офлайн резервні копії слід перевірити та підготувати до відновлення, оскільки Sinobi призначений для знищення онлайн копій Shadow та вмісту Корзини.

"graph TB %% Class Definitions Section classDef initial_access fill:#f96,stroke:#333,stroke-width:2px classDef escalation fill:#f9f,stroke:#333,stroke-width:2px classDef persistence fill:#bbf,stroke:#333,stroke-width:2px classDef defense_impairment fill:#dfd,stroke:#333,stroke-width:2px classDef collection fill:#ffd,stroke:#333,stroke-width:2px classDef impact fill:#f66,stroke:#333,stroke-width:2px %% Initial Access Section action_initial_access["<b>Дія</b> – <b>T1078 Вірогідні облікові записи</b><br/>Нападник використовує вкрадені облікові дані від постачальника MSP третьої сторони<br/>для аутентифікації через SonicWall SSL VPN пристрій."] class action_initial_access initial_access %% Privilege Escalation and Persistence Section action_priv_esc["<b>Дія</b> – <b>T1098.007 Маніпуляція з обліковими записами: додаткові локальні або доменні групи</b><br/>Створення додаткового адміністративного облікового запису з назвою Довідка<br/>і просування до локальних і доменних адміністративних груп."] class action_priv_esc escalation action_persistence_power["<b>Дія</b> – <b>T1653 Налаштування енергетики</b><br/>Переписування шляху бінарного файлу безпеки Carbon Black<br/>для вказівки на плату завантаження для програмного забезпечення-вимагачів та примусового перезавантаження."] class action_persistence_power persistence %% Defense Impairment Section action_def_impair_tool["<b>Дія</b> – <b>T1685 Вимкнути або змінити інструменти</b><br/>Цільове напрацювання та вимкнення процесів безпеки."] class action_def_impair_tool defense_impairment action_def_impair_svc["<b>Дія</b> – <b>T1489 Зупинка служби</b><br/>Зупинення SQL та Veeam служб для розблокування файлів на шифрування."] class action_def_impair_svc defense_impairment %% Collection Section action_collection_rclone["<b>Дія</b> – <b>T1560.001 Архівування зібраних даних: Архівування через утиліту</b><br/>Використання rclone.exe для синхронізації даних, важливих для бізнесу<br/>до віддаленого місця призначення."] class action_collection_rclone collection %% Impact Section action_inhibit_recovery["<b>Дія</b> – <b>T1490 Перешкоджання відновленню системи</b><br/>Знищення копій тіньового тому за допомогою DeviceIoControl<br/>та очищення Корзини за допомогою SHEmptyRecycleBinA."] class action_inhibit_recovery impact action_encryption["<b>Дія</b> – <b>T1486 Дані зашифровані для впливу</b><br/>Шифрування з використанням Curve-25519 та AES-128-CTR.<br/>Файли мають розширення .SINOBI.<br/>Записка з викупом README.txt розміщена."] class action_encryption impact %% Connections action_initial_access –>|веде до| action_priv_esc action_priv_esc –>|веде до| action_persistence_power action_persistence_power –>|дозволяє| action_def_impair_tool action_persistence_power –>|дозволяє| action_def_impair_svc action_def_impair_tool –>|передує| action_collection_rclone action_def_impair_svc –>|передує| action_collection_rclone action_collection_rclone –>|веде до| action_inhibit_recovery action_inhibit_recovery –>|веде до| action_encryption "

Потік атаки

Виконання симуляції

Передумова: Тест перед польотом телеметрії та базової лінії має бути пройдено.

Пояснення: Цей розділ детально описує точне виконання техніки противника (TTP), призначеної для запуску правила виявлення. Команди та розповідь ПОВИННІ безпосередньо відображати ідентифіковані TTP та мають на меті генерувати точну телеметрію, очікувану логікою виявлення. Абстрактні або не пов’язані приклади призводять до невірної діагностики.

  • Наратив атаки та команди: Супротивник отримав початковий доступ і тепер виконує плату завантаження програми-вимагача. Щоб максимізувати вплив та вимогу, мета супротивника – зашифрувати документи користувача та залишити інструкції. Скрипт симулює це шляхом: 1) Створення фіктивного документа, 2) “Шифрування” його, перейменовуючи на document.pdf.SINOBI, 3) Записування записки про викуп під назвою README.txt, та 4) Записування файлу, що містить конкретні метадані curve25519_pubkey для симуляції шифрування прикінцевого запису програми-вимагача.

  • Скрипт регресійного тестування:

    # Сімулювальний скрипт Sinobi Ransomware
$targetDir = "$env:USERPROFILEDesktopSinobi_Sim"
if (!(Test-Path $targetDir)) { New-Item -Path $targetDir -ItemType Directory }

Write-Host "[+] Симулюється шифрування файлів..."
$originalFile = "$targetDirimportant_data.pdf"
"Вміст конфіденційних даних" | Out-File -FilePath $originalFile

# Запуск selection_ext і selection_ransom
Rename-Item -Path $originalFile -NewName "important_data.pdf.SINOBI"
"ВАШІ ФАЙЛИ ЗАШИФРОВАНІ! ПЕРЕКАЗУЙТЕ BITCOIN ДО..." | Out-File -FilePath "$targetDirREADME.txt"

Write-Host "[+] Симуляція метаданих шифрування (selection_footer)..."
# Запуск selection_footer
$metadataFile = "$targetDirmetadata.dat"
"Encryption_mode: AES256; curve25519_pubkey: 0xABC123" | Out-File -FilePath $metadataFile

Write-Host "[!] Симуляція завершена. Перевірте SIEM на предмет сигналів."

  • Команди очищення:

    Remove-Item -Path "$env:USERPROFILEDesktopSinobi_Sim" -Recurse -Force
Write-Host "[+] Очищення завершено."

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно