Хакери използват VSSAdmin за извличане на NTDS.dit и изтриване на локалните копияр за възстановяване на Windows

Атакуващите под Windows превръщат вградена функция за възстановяване в инструмент за сътресения. Чрез злоупотреба със службата Volume Shadow Copy Service (VSS), злонамерените субекти могат да копират защитени данни, да получат достъп до базата данни на Active Directory и да изтрият копия за възстановяване след атака с криптовирус (ransomware).

Техниката се слива с обичайната активност в Windows. Софтуерът за архивиране, инструментите за отдалечено управление и администраторите могат да създават или премахват сенчести копия (shadow copies), което принуждава защитниците да разграничават рутинната поддръжка от пробив в сигурността.

Резултатът е откраднати идентификационни данни за домейни и по-малко възможности за възстановяване. Анализатори от Huntress идентифицираха този модел, докато преглеждаха съмнителна активност със сенчести копия на домейн контролер.

Тяхното разследване показва как няколко свързани действия могат да разкрият опит за събиране на пароли и акаунти, придвижване в мрежата и премахване на локалните опции за възстановяване, преди атаката да достигне крайната си фаза.

От Huntress заявяват в доклад, споделен с Cyber Security News (CSN), че авторите на заплахата не разчитат единствено на изтриването на сенчестите копия.

Те могат да създадат сенчесто копие, за да получат данни от Active Directory, след което да премахнат копията, за да намалят следите и да затруднят възстановяването на системата. Това представлява сериозен проблем за организации, които разглеждат локалните резервни копия като единствената си защита.

Хакери злоупотребяват с VSSAdmin

Службата Volume Shadow Copy Service (VSS) прави моментни снимки на файлове и томове към определен момент. Тя поддържа архивирането и възстановяването, но също така дава на привилегирован атакуващ заобиколен маршрут около стандартната защита срещу заключване на базата данни на Active Directory, която съхранява информация за акаунти и криптирани пароли на домейн контролер.

При активността, прегледана от изследователите, PsExec стартира командни интерпретатори с права от ниво SYSTEM на домейн контролер.

Атакуващият е проверил активните Remote Desktop сесии и е използвал VSSAdmin за създаване на сенчесто копие. Това е позволило вземането на копие от базата данни с директорията от статична моментна снимка, вместо директно да бъде четена от работещата система.

Този подход може да бъде по-незабележим от извличането на идентификационни данни от активна система. Открадната база данни с директорията може да улесни офлайн възстановяването на хешове на пароли и последващ достъп до целия домейн, както е илюстрирано в този случай на кражба на база данни от Active Directory.

Етапът на изтриване премахва удобния локален път за възстановяване на файлове. Докладите за изтриване на копия за възстановяване при атаки с криптовируси показват, че атакуващите използват тази тактика, за да стеснят избора на жертвата за възстановяване преди криптирането. Локалните моментни снимки никога не трябва да се третират като единствен план за възстановяване.

Контекстът разкрива проникването

Събитие, свързано само със създаване на сенчесто копие, е слаб сигнал за тревога. Легитимните агенти за архивиране и инструментите за отдалечен мониторинг често създават или изчистват копия по време на насрочени задачи, така че правило, което сигнализира за всяко събитие на VSS, може да претовари екипите по сигурност и да улесни пропускането на реални прониквания.

По-силният сигнал е свързаната верига от събития около него. Huntress свързва съмнителното създаване с отдалечено изпълнение на ниво SYSTEM, проверки на Remote Desktop сесии, действия, насочени към компрометиране на пароли, DNS изброяване (enumeration) и разузнаване на поне един допълнителен хост.

Взети заедно, тези събития подсказват за странично придвижване (lateral movement) в мрежата, вместо за администратор, изпълняващ задача по почистване. Тази последователност е от значение, тъй като киберпрестъпниците често използват легитимни инструменти, след като получат достъп.

PsExec може да изпълнява команди на отдалечени системи с повишени привилегии. Организациите могат да проучат как инструментът улеснява страничното придвижване чрез отдалечени команди, когато преценяват дали употребата му съответства на нормалните оперативни модели.

Екипите по защита трябва да разследват създаването или изтриването чрез VSS, когато то се появи до необичайно отдалечено изпълнение, активност с акаунти, разузнаване в директорията или опити за достъп до чувствителни файлове.

Иерархията на процесите, историята на командите, потребителският контекст, ролята на хоста и точното време могат да потвърдят дали операцията по архивиране е очаквана, или е част от пробив в сигурността.

Изследователите препоръчват да се прави корелация на събитията за даден времеви прозорец, вместо да се съди за една команда изолирано. Екипите трябва да защитят своите копия за възстановяване с офлайн или изолирани резервни копия, да тестват възстановяването, да ограничат привилегирования достъп до домейн контролерите и да преглеждат предупреждения, комбиниращи VSS активност със събиране на пароли или придвижване между хостове.

Изводът е ясен: сенчестото копие помага за възстановяването, но не представлява граница на сигурност. Когато атакуващите могат да го създадат, прочетат и изтрият с надеждни инструменти на Windows, ранното откриване зависи от разпознаването на веригата от действия, преди откраднатите данни за достъп и загубените опции за възстановяване да превърнат инцидента в криза за целия домейн.

Indicators of compromise (IoCs):-

Note: IP addresses and domains are intentionally defanged (e.g., [.]) to prevent accidental resolution or hyperlinking. Re-fang only within controlled threat intelligence platforms such as MISP, VirusTotal, or your SIEM.