L'activité de ransomware comprend souvent une préparation avant le début du chiffrement. Les attaquants peuvent tenter de réduire les options de récupération, de supprimer les sauvegardes, d'effacer les preuves ou de modifier des paramètres système qui compliquent la restauration.

La source définit une recherche de ligne de commande Windows pour plusieurs comportements associés à cette phase de préparation et d'impact.

Commandes incluses dans la recherche

La requête recherche une activité impliquant :

• vssadmin supprimant les clichés instantanés ;

• suppression de clichés instantanés via WMI ;

• wbadmin supprimant le catalogue de sauvegarde ;

• bcdedit désactivant la récupération ;

• wevtutil effaçant les journaux ;

• cipher /w ;

• modifications de SymlinkEvaluation via fsutil.

Requête de détection

data.win.system.eventID:1 and data.win.eventdata.commandLine:(*vssadmin*delete*shadows* or *wmic*shadowcopy*delete* or *wbadmin*delete*catalog* or *bcdedit*recoveryenabled*no* or *wevtutil*cl* or *cipher*/w* or *fsutil*behavior*set*SymlinkEvaluation*)

La source a enregistré trois événements correspondants au cours des 30 derniers jours.

Pourquoi ces événements sont importants

Beaucoup de ces commandes ont des usages administratifs légitimes, mais plusieurs sont rares dans l'activité normale des utilisateurs.

La suppression de clichés instantanés ou de catalogues de sauvegarde, en particulier, doit être examinée avec soin lorsqu'elle survient en dehors des opérations de maintenance ou de sauvegarde approuvées.

L'événement devient plus significatif lorsqu'il est associé à :

• exécution de shell suspecte ;

• extraction d’identifiants ;

• désactivation de contrôles de sécurité ;

• modification massive de fichiers ;

• tâches planifiées nouvellement créées ;

• administration à distance inhabituelle.

Processus d'investigation

Pour chaque correspondance, les analystes doivent déterminer :

• qui a exécuté la commande ;

• si l'hôte est un poste de travail ou un serveur ;

• le processus parent ;

• ligne de commande exacte ;

• si des opérations de sauvegarde ou de récupération étaient prévues ;

• les autres processus lancés à peu près au même moment ;

• si plusieurs systèmes ont effectué la même action.

Si la commande apparaît peu avant des modifications de fichiers généralisées, l'événement doit être traité comme un précurseur potentiel de ransomware.

Réglage

Des logiciels de sauvegarde ou des scripts de maintenance connus peuvent invoquer légitimement certaines de ces commandes.

Les exceptions doivent donc reposer sur des chemins de processus connus, des logiciels signés, des comptes de service et des planifications attendues.

Valeur de la corrélation

Le faible nombre de résultats dans la source rend cette règle utile pour la revue manuelle.

Une chaîne particulièrement préoccupante pourrait être :

extraction d'identifiants → exécution à distance → clichés instantanés supprimés → journaux effacés

Une telle corrélation peut aider à distinguer une administration isolée d'une activité malveillante coordonnée.

Valeur opérationnelle

La détection des ransomwares ne devrait pas commencer seulement lorsque le chiffrement est déjà visible. Surveiller les comportements d'inhibition de la restauration peut fournir des signaux plus précoces et aider le SOC à réagir avant la fin de la phase d'impact finale.