Ransomware-Aktivität umfasst oft Vorbereitungen, bevor die Verschlüsselung beginnt. Angreifer versuchen möglicherweise, Wiederherstellungsoptionen zu verringern, Datensicherungen zu entfernen, Spuren zu löschen oder Systemeinstellungen zu ändern, die die Wiederherstellung erschweren.
Die Quelle definiert eine Windows-Befehlszeilensuche für mehrere Verhaltensweisen, die mit dieser Vorbereitungs- und Auswirkungsphase verbunden sind.
In der Suche enthaltene Befehle
Die Abfrage sucht nach Aktivität mit:
vssadminlöscht Schattenkopien;WMI-Löschung von Schattenkopien;
wbadminlöscht den Sicherungskatalog;bcdeditdeaktiviert die Wiederherstellung;wevtutillöscht Protokolle;cipher /w;fsutil-Änderungen an SymlinkEvaluation.
Erkennungsabfrage
data.win.system.eventID:1 and data.win.eventdata.commandLine:(*vssadmin*delete*shadows* or *wmic*shadowcopy*delete* or *wbadmin*delete*catalog* or *bcdedit*recoveryenabled*no* or *wevtutil*cl* or *cipher*/w* or *fsutil*behavior*set*SymlinkEvaluation*)
Die Quelle verzeichnete drei passende Ereignisse in den vorangegangenen 30 Tagen.
Warum diese Ereignisse wichtig sind
Viele dieser Befehle haben legitime administrative Verwendungszwecke, mehrere sind jedoch bei normaler Benutzeraktivität ungewöhnlich.
Das Löschen von Schattenkopien oder Sicherungskatalogen sollte insbesondere dann sorgfältig geprüft werden, wenn es außerhalb genehmigter Wartungs- oder Datensicherungsvorgänge erfolgt.
Das Ereignis wird bedeutsamer, wenn es kombiniert wird mit:
verdächtige Shell-Ausführung;
Auslesen von Anmeldedaten;
Deaktivierung von Sicherheitskontrollen;
Massenänderung von Dateien;
neu erstellte geplante Aufgaben;
ungewöhnliche Fernadministration.
Untersuchungsablauf
Analysten sollten für jeden Treffer ermitteln:
wer den Befehl ausgeführt hat;
ob der Host ein Arbeitsplatzrechner oder ein Server ist;
den übergeordneten Prozess;
genaue Befehlszeile;
ob Datensicherungs- oder Wiederherstellungsvorgänge geplant waren;
andere Prozesse, die etwa zur gleichen Zeit gestartet wurden;
ob mehrere Systeme dieselbe Aktion ausgeführt haben.
Erscheint der Befehl kurz vor weitreichenden Dateiänderungen, sollte das Ereignis als möglicher Ransomware-Vorläufer behandelt werden.
Feinabstimmung
Bekannte Datensicherungssoftware oder Wartungsskripte können einige dieser Befehle legitim aufrufen.
Ausnahmen sollten daher auf bekannten Prozesspfaden, signierter Software, Dienstkonten und erwarteten Zeitplänen beruhen.
Korrelationswert
Die geringe Trefferzahl in der Quelle macht diese Regel für die manuelle Prüfung nützlich.
Eine besonders besorgniserregende Kette könnte sein:
Auslesen von Anmeldedaten → Fernausführung → Schattenkopien gelöscht → Protokolle gelöscht
Eine solche Korrelation kann helfen, isolierte Administration von koordinierter bösartiger Aktivität zu unterscheiden.
Betrieblicher Nutzen
Die Ransomware-Erkennung sollte nicht erst beginnen, wenn die Verschlüsselung bereits sichtbar ist. Die Überwachung von Verhalten zur Behinderung der Wiederherstellung kann frühere Signale liefern und dem SOC helfen, zu reagieren, bevor die finale Auswirkungsphase abgeschlossen ist.
