Рансъмуерът може да превърне едно невнимателно кликване в спешна ситуация за цялата компания. Инцидент с QNET показва колко бързо може да нарасне този риск, когато атакуващите използват доверени инструменти на Windows за стартиране на втория етап от компрометирането.
Атаката започва, след като потребител отваря зловреден файл, вероятно доставен чрез имейл или изтегляне от браузъра.
Той стартира mshta.exe, легитимен инструмент на Windows, който се свързва с контролирана от атакуващите инфраструктура, за да събере отдалечен зловреден код и да подготви дейност по осигуряване на постоянство.
Анализаторите на Microsoft отбелязват, че операцията е използвала метода „living-off-the-land“, което означава, че разчита на вграден инструмент, вместо на очевидна програма за зловреден софтуер.
Този подход може да се слее с нормалната системна дейност и да даде време на атакуващите да откраднат идентификационни данни, да установят присъствие или да се преместят в други системи.
Инцидентът остава ограничен до една работна станция, но потенциалното въздействие е сериозно. Операторите на рансъмуер зависят от бързия достъп до повече машини, резервни копия и чувствителни данни, което прави ранното ограничаване централно за спиране на криптирането и прекъсването на работата.
Microsoft съобщава в доклад, споделен с Cyber Security News (CSN), че две независими засичания са се задействали в 09:23:20 UTC.
Едното маркира подозрителна активност при изпълнение на команди, свързана с използването на регистъра RunMRU, докато системата за корелация оценява комбинираното поведение като злонамерено, а не като нормално администриране.
В 09:25:02 UTC автоматизираният процес за реагиране оценява атаката като активно изпълнение на код на една крайна точка, без признаци за странично движение (lateral movement).
Той избира изолиране на устройството, стартира процедурата „IsolateDevice“ в 09:25:16 и завършва действието дванадесет секунди по-късно.
Крайното време от първото засичане до изолирането е 128 секунди. Засегнатото устройство губи вътрешен и външен мрежов достъп, с изключение на трафика за управление на сигурността, прекъсвайки комуникацията си с контролираната от атакуващия услуга и оставяйки хронология за одит.
Това е важно, тъй като крайната точка може да се превърне в отправна точка още преди атакуващите да достигнат до други системи.
Както е обяснено в материалите за предпазните мерки при автоматично изолиране на устройства, насоченото ограничаване може да запази видимостта за екипа по сигурност, като същевременно премахне мрежовия път, използван за командване и контрол (C2), кражба на данни и по-нататъшно внедряване на рансъмуер.
Microsoft не съобщава за допълнително изтегляне на зловреден код, опит за осигуряване на постоянство или странично движение след изолирането.
Процесът mshta.exe е прекъснат на мрежово ниво и не е необходимо действие от центъра за операции по сигурността (SOC) по време на прозореца на прекъсване, което позволява на анализаторите да се концентрират върху разследването и възстановяването.
Защо скоростта и подготовката имат значение
Случаят с QNET отразява познат модел на рансъмуер: примамка, насочена към потребителя, доверен инструмент, използван по неочакван начин, и бърз опит за превръщане на локалното присъствие в по-широк достъп.
Сравнимите тактики за многоетапно доставяне на зловреден софтуер често използват социално инженерство и нормално изглеждащи системни функции за избягване на подозрение.
За защитниците урокът не е, че всяко предупреждение изисква автоматично изключване на машина.
Решенията за изолиране се нуждаят от висока степен на увереност, ясен оперативен контрол и възможност за безопасно възстановяване на достъпа, след като устройството е било разследвано, почистено и наблюдавано за повторна активност.
Организациите трябва да намалят вероятността за успех на първата стъпка, като обучават служителите да подлагат под съмнение неочаквани файлове, ограничават ненужните инструменти за скриптове и прокси-изпълнение и наблюдават необичайна дейност на mshta.exe.
Те трябва също така да поддържат тествани резервни копия, да инсталират своевременно корекции за сигурност и да се уверяват, че екипите за реагиране знаят кой може да изолира устройство и как ще продължат критичните услуги.
Оригиналният доклад препоръчва активиране на възможностите за защита в реално време и преглед на това как те могат да бъдат задействани в организацията.
Той също така показва защо плановете за реагиране трябва да съчетават ограничаването на крайната точка с проверки на засегнатия потребителски акаунт, тъй като изолирането само на устройството или само на идентичността може да остави пропуски.
Екипите по сигурността могат да използват уроците от реагирането при ограничаване на инциденти от предишни случаи с рансъмуер, за да отрепетират тези решения, преди да пристигне предупреждение.
Краткият прозорец за ограничаване е ценен само когато е последван от внимателен анализ на първопричината, преглед на идентификационните данни, отстраняване на заплахата и премерено връщане към работа.
В QNET прозорецът е бил достатъчно кратък, за да предотврати превръщането на атаката в по-широко рансъмуер събитие.
Случаят напомня, че превенцията е важна, но способността за бързо прекъсване на потвърдено компрометиране може да определи дали един компрометиран компютър ще се превърне в криза за цялата организация.