Ransomware-activiteit omvat vaak voorbereiding voordat de versleuteling begint. Aanvallers proberen mogelijk herstelopties te verminderen, back-ups te verwijderen, bewijs te wissen of systeeminstellingen te wijzigen die het herstel bemoeilijken.

De bron definieert een Windows-opdrachtregelzoekactie voor meerdere gedragingen die verband houden met deze fase van klaarzetten en impact.

In de zoekactie opgenomen opdrachten

De zoekopdracht zoekt naar activiteit met:

• vssadmin dat schaduwkopieën verwijdert;

• verwijdering van schaduwkopieën via WMI;

• wbadmin dat de back-upcatalogus verwijdert;

• bcdedit dat herstel uitschakelt;

• wevtutil dat logs wist;

• cipher /w;

• wijzigingen in SymlinkEvaluation via fsutil.

Detectiequery

data.win.system.eventID:1 and data.win.eventdata.commandLine:(*vssadmin*delete*shadows* or *wmic*shadowcopy*delete* or *wbadmin*delete*catalog* or *bcdedit*recoveryenabled*no* or *wevtutil*cl* or *cipher*/w* or *fsutil*behavior*set*SymlinkEvaluation*)

De bron registreerde drie overeenkomende gebeurtenissen in de afgelopen 30 dagen.

Waarom deze gebeurtenissen belangrijk zijn

Veel van deze opdrachten hebben legitiem beheergebruik, maar meerdere komen zelden voor bij normale gebruikersactiviteit.

Het verwijderen van schaduwkopieën of back-upcatalogi moet met name zorgvuldig worden beoordeeld wanneer dit buiten goedgekeurde onderhouds- of back-upbewerkingen plaatsvindt.

De gebeurtenis wordt significanter in combinatie met:

• verdachte shelluitvoering;

• het dumpen van inloggegevens;

• uitschakeling van beveiligingscontroles;

• massale bestandswijziging;

• nieuw aangemaakte geplande taken;

• ongebruikelijk beheer op afstand.

Onderzoeksworkflow

Analisten moeten voor elke treffer bepalen:

• wie de opdracht heeft uitgevoerd;

• of de host een werkstation of server is;

• het bovenliggende proces;

• exacte opdrachtregel;

• of back-up- of herstelbewerkingen gepland waren;

• andere processen die rond dezelfde tijd zijn gestart;

• of meerdere systemen dezelfde actie hebben uitgevoerd.

Als de opdracht kort voor wijdverspreide bestandswijzigingen verschijnt, moet de gebeurtenis worden behandeld als een mogelijke voorloper van ransomware.

Afstemming

Bekende back-upsoftware of onderhoudsscripts kunnen sommige van deze opdrachten legitiem aanroepen.

Uitzonderingen moeten daarom gebaseerd zijn op bekende processpaden, ondertekende software, serviceaccounts en verwachte schema's.

Correlatiewaarde

Het kleine aantal resultaten in de bron maakt deze regel nuttig voor handmatige beoordeling.

Een bijzonder zorgwekkende keten zou kunnen zijn:

dumpen van inloggegevens → uitvoering op afstand → schaduwkopieën verwijderd → logs gewist

Een dergelijke correlatie kan helpen om geïsoleerd beheer te onderscheiden van gecoördineerde kwaadaardige activiteit.

Operationele waarde

Ransomwaredetectie mag niet pas beginnen wanneer versleuteling al zichtbaar is. Het monitoren van gedrag dat herstel blokkeert kan eerdere signalen opleveren en het SOC helpen te reageren voordat de laatste impactfase is voltooid.