Microsoft DART 勒索软件案例研究

项目
03/09/2024

近年来，人为操作的勒索软件作为全球最具影响力的网络攻击趋势之一，令众多组织面临重大威胁。这些攻击利用网络配置错误，在内部安全薄弱的组织中肆意猖獗。尽管这些攻击的确令组织及其 IT 基础结构和数据置于危险之中，但其仍属于可预防的灾难。

Microsoft 检测和响应团队 (DART) 可响应安全威胁，助力客户提高网络弹性。 DART 可提供突发性事件响应和远程主动调查服务。 Microsoft 与全球安全组织建立了战略合作伙伴关系，并且其内部拥有 Microsoft 产品组，DART 将充分利用这些资源，全力为你提供最全面彻底的事件调查。

本文介绍了 DART 对近期发生的勒索软件事件的调查情况，并对事件的攻击策略和检测机制进行了详细说明。

更多关于对抗人为操作勒索软件的信息，请参阅 DART 指南的第 1 部分和第 2 部分。

攻击

DART 利用事件响应工具和策略来识别威胁行为者人为操作勒索软件的行为。勒索软件事件的公开信息往往侧重于最终影响，很少强调行为细节以及威胁行为者如何私自升级访问权限，从而发现设备、利用所得资源获利以及实施勒索。

下面是攻击者基于 MITRE ATT&CK 策略进行勒索软件攻击的一些常见方法。

DART 使用 Microsoft Defender for Endpoint 在整个环境中跟踪攻击者，建立描述事件的网络攻击画像以消除威胁并进行修正。 DART 在部署 Defender for Endpoint 后，即可开始检测登录成功的暴力攻击。 DART 在找到相关攻击后开始检查安全数据，并发现了几个使用远程桌面协议 (RDP) 面向 Internet 的易受攻击的设备。

威胁行为者在获得初始访问权限后，会使用 Mimikatz 凭据收集工具转存密码哈希、扫描以明文形式存储的凭据、使用 Sticky Key 操作创建后门，并使用远程桌面会话在整个网络中横向移动。

下面是本案例研究中攻击者的主要攻击途径。

以下部分介绍了基于 MITRE ATT&CK 策略的其他详细信息，并提供了演示如何使用 Microsoft Defender 门户检测威胁行动者活动的示例。

初始访问

勒索软件活动利用众所周知的漏洞作为其初始入口，其通常使用网络钓鱼电子邮件或利用外围防御中的弱点，例如在 Internet 上公开启用远程桌面服务的设备。

本事件中，DART 找到了向 Internet 开放 TCP 端口 3389 的设备。威胁行为者利用该设备执行暴力身份验证攻击并获取初始立足点。

Defender for Endpoint 使用威胁情报来确定是否存在大量来自已知暴力攻击源的登录，并将其显示在 Microsoft Defender 门户中。下面是一个示例。

An example of known brute-force sign-ins in the Microsoft Defender portal.

侦查

初始访问成功后，威胁行为者开始执行环境枚举和设备发现。该操作可识别组织内部网络和目标关键系统的信息，例如，域控制器、备份服务器、数据库和云资源。威胁行为者完成枚举和设备发现后，会通过类似操作识别易受攻击的用户帐户、组、权限和软件。

威胁行为者利用 IP 地址扫描工具 Advanced IP Scanner 枚举环境中使用的 IP 地址并执行后续端口扫描。威胁行为者通过扫描开放端口，找到可通过最初被盗用的设备进行访问的设备。

Defender for Endpoint 中检测到了该活动，并将其设置为入侵指标 (IoC) 以做进一步调查。下面是一个示例。

An example of port scanning in the Microsoft Defender portal.

凭据盗窃

威胁行为者在获得初始访问权限后使用 Mimikatz 密码检索工具收集凭据，并在最初被盗用的系统上搜索包含“密码”的文件。威胁行为者利用上述操作使用合法凭据访问其他系统。威胁行为者通常会利用这些帐户创建其他帐户，以便在盗用帐户行为被识别和修复后可继续进行非法访问。

以下示例演示了在 Microsoft Defender 门户中检测到使用 Mimikatz 的攻击。

An example of Mimikatz detection in the Microsoft Defender portal

横向移动

不同的组织间跨终结点的移动方式可能有所不同，但威胁行为者通常会利用设备上已存在的不同类型远程管理软件。通过利用 IT 部门在日常活动中常用的远程访问方法，威胁行为者可在很长一段时间内逃避监控。

DART 利用 Microsoft Defender for Identity 可绘制出威胁行为者使用的设备间路径，并显示被盗用和访问的帐户。下面是一个示例。

The path that the threat actor took between devices in Microsoft Defender for Identity.

防御规避

威胁行为者在整个攻击周期内使用防御逃避技术以避免被识别，从而达成攻击目标。这些技术包括禁用或篡改防病毒产品、卸载或禁用安全产品或功能、修改防火墙规则，以及使用模糊处理技术隐藏安全产品和服务的入侵项目。

本事件的威胁行为者利用 PowerShell 在 Windows 11 和 Windows 10 设备上禁用 Microsoft Defender 的实时保护，并使用本地网络工具开启 TCP 端口 3389 并允许 RDP 连接。这些操作更改了检测和警告恶意活动的系统服务，从而降低了环境中检测到攻击行为的概率。

但是，威胁行为者无法禁用本地设备的 Defender for Endpoint，并且 Defender for Endpoint 会检测到这一禁用行为。下面是一个示例。

An example of detecting the use of PowerShell to disable real-time protection for Microsoft Defender.