L'attività ransomware include spesso una preparazione prima dell'inizio della cifratura. Gli attaccanti possono tentare di ridurre le opzioni di ripristino, rimuovere i backup, cancellare le prove o modificare impostazioni di sistema che rendono più difficile il ripristino.

La fonte definisce una ricerca sulla riga di comando di Windows per diversi comportamenti associati a questa fase di staging e impatto.

Comandi inclusi nella ricerca

La query cerca attività che coinvolgono:

• vssadmin che elimina le copie shadow;

• eliminazione di copie shadow tramite WMI;

• wbadmin che elimina il catalogo dei backup;

• bcdedit che disabilita il ripristino;

• wevtutil che cancella i log;

• cipher /w;

• modifiche di SymlinkEvaluation tramite fsutil.

Query di rilevamento

data.win.system.eventID:1 and data.win.eventdata.commandLine:(*vssadmin*delete*shadows* or *wmic*shadowcopy*delete* or *wbadmin*delete*catalog* or *bcdedit*recoveryenabled*no* or *wevtutil*cl* or *cipher*/w* or *fsutil*behavior*set*SymlinkEvaluation*)

La fonte ha registrato tre eventi corrispondenti nei 30 giorni precedenti.

Perché questi eventi sono importanti

Molti di questi comandi hanno usi amministrativi legittimi, ma diversi sono insoliti nella normale attività degli utenti.

L'eliminazione di copie shadow o di cataloghi dei backup, in particolare, dovrebbe essere esaminata con attenzione quando avviene al di fuori di operazioni di manutenzione o di backup approvate.

L'evento diventa più significativo se combinato con:

• esecuzione sospetta di shell;

• estrazione delle credenziali;

• disattivazione dei controlli di sicurezza;

• modifica massiva di file;

• attività pianificate appena create;

• amministrazione remota insolita.

Flusso di indagine

Per ogni corrispondenza, gli analisti dovrebbero stabilire:

• chi ha eseguito il comando;

• se l'host è una workstation o un server;

• il processo padre;

• riga di comando esatta;

• se erano pianificate operazioni di backup o ripristino;

• altri processi avviati più o meno nello stesso momento;

• se più sistemi hanno eseguito la stessa azione.

Se il comando compare poco prima di modifiche diffuse ai file, l'evento dovrebbe essere trattato come un potenziale precursore di ransomware.

Ottimizzazione

Software di backup o script di manutenzione noti possono invocare legittimamente alcuni di questi comandi.

Le eccezioni dovrebbero quindi basarsi su percorsi di processo noti, software firmato, account di servizio e pianificazioni previste.

Valore della correlazione

Il basso numero di risultati nella fonte rende questa regola utile per la revisione manuale.

Una catena particolarmente preoccupante potrebbe essere:

estrazione delle credenziali → esecuzione remota → copie shadow eliminate → log cancellati

Tale correlazione può aiutare a distinguere un'amministrazione isolata da un'attività dannosa coordinata.

Valore operativo

Il rilevamento del ransomware non dovrebbe iniziare solo quando la cifratura è già visibile. Monitorare i comportamenti di inibizione del ripristino può fornire segnali più precoci e aiutare il SOC a rispondere prima che la fase finale di impatto sia completata.