技术实践｜勒索病毒防御削弱技术对抗研究

Windows Defender是微软公司开发的一款防病毒软件，它旨在保护Windows操作系统免受病毒、间谍软件、恶意软件和其他威胁的攻击。Windows Defender最初是Windows Vista操作系统中的一个防病毒软件，后来被集成到Windows 7、Windows 8、Windows 8.1和Windows 10中。

在Windows操作系统中，Set-MpPreference是Windows Defender防病毒软件的PowerShell命令之一，用于设置和更改Windows Defender的首选项

2022年DFIR报告中披露了一场勒索病毒的攻击事件，在攻击者投放Conti勒索病毒之前，使用Set-MpPreference命令将Windows Defender的实时监控功能关闭，这对于攻击者实施后续的攻击创造了有利条件。

常用选项：

1.DisableRealtimeMonitoring：禁用实时监控功能

2.DisableBehaviorMonitoring：禁用行为监控功能

检测思路：

日志路径：Microsoft-Windows-Windows Defender/Operational

系统事件ID：5001

2021年勒索组织使用Exchange Proxyshell漏洞攻击Exchange，获取权限后为了保证后续所有的攻击行动不被系统自带的Windows Defender拦截，除了禁用Windows Defender以外，还给Windows Defender添加排除项。

使用的攻击命令如下：

PowerShelltry {Set-MpPreference -DisableBehaviorMonitoring 1 -AsJob;Set-MpPreference -SevereThreatDefaultAction Allow -AsJob;Set-MpPreference -DisableRealtimeMonitoring 1 -AsJob;Add-MpPreference -ExclusionPath 'C:Windows' -Force -AsJob} catch {}

关键命令：

PowerShellPowerShell Add-MpPrefenrence -ExclusionPath C:PowerShell Add-MpPrefenrence -ExclusinoExtension ".exe"

检测思路：

日志路径：Microsoft-Windows-Windows Defender/Operational

系统事件ID：5007

通过日志可以清晰的看到执行该操作的PID以及受到影响的注册表项，除了监控日志外，还可以对注册表项进行监控：

Windows卷影副本（Volume Shadow Copy）是Windows操作系统中的一项功能，用于创建文件和文件夹的备份副本。卷影副本技术可以在不停止正在使用的文件和文件夹的情况下创建备份，因此用户可以在备份文件时继续使用计算机。卷影副本技术是通过创建卷的快照来实现的。卷的快照是卷数据的只读副本，它捕获了卷的当前状态，并允许用户访问文件和文件夹以进行备份。使用卷影副本创建的备份文件通常被称为“卷影副本集”（Shadow Copy Set）。

卷影副本技术可以在Windows Server和Windows Client操作系统中使用，并且可以为文件和文件夹创建历史版本，以便在需要时恢复数据。卷影副本还可以与其他备份软件一起使用，以提供更全面的数据保护和灾难恢复解决方案。

在Windows操作系统中，可以使用“卷影副本服务”（Volume Shadow Copy Service，VSS）来管理卷影副本。VSS可以自动创建卷影副本，并且可以与备份软件一起使用，以便在备份期间创建卷影副本，从而保护计算机数据的完整性和可用性。

在勒索病毒的加密行动开始之前，为了保证加密有效、数据不被轻易恢复，会尝试关闭卷影副本服务或者删除卷影副本，通常操作/删除卷影副本快照有很多种方式：

vsadmin.exe

wmic.exe

Powershell - 实际上也是调用WMI对象

PowerShellGet-WMIObject Win32_Shadowcopy | ForEach-object { $_.Delete(); }Get-WmiObject Win32_ShadowCopy | % { $_.Delete() }Get-WmiObject Win32_ShadowCopy |Remove-WmiObject

Windows API : IVssFileShareSnapshotProvider::DeleteSnapshots

PowerShellHRESULT DeleteSnapshots( [in]  VSS_ID          SourceObjectId, [in]  VSS_OBJECT_TYPE eSourceObjectType, [in]  BOOL          bForceDelete, [out] LONG           *plDeletedSnapshots, [out] VSS_ID         *pNondeletedSnapshotID);

检测思路：

这些攻击可以通过监控命令行特征来实现告警规则，例如包含“Shadowcopy”和“delete”等，在API层面可以做一些系统更底层的监控和拦截。

Windows系统还原点是Windows操作系统的一个功能，它允许用户在计算机出现问题时恢复到之前创建的某个时间点的系统状态。当你创建一个还原点时，系统会记录当前的系统配置以及各种系统设置，包括安装的应用程序、驱动程序和系统文件等。如果在之后的某个时间点出现了问题，你可以使用系统还原点将系统恢复到之前的状态，从而解决问题。

勒索病毒执行前可能会通过如下命令禁用系统还原点，保证勒索阶段的成功执行：

除了禁用系统还原点，执行前还会删除系统还原点：

PowerShellGet-ComputerRestorePoint | Delete-ComputerRestorePointDisable-ComputerRestore -Drive "C:"

检测思路：

除了命令行的监控以外，可以监控注册表的操作、计划任务MicrosoftWindowsSystemRestore，该计划任务项SR是系统还原点创建后自动设置的，会定期进行备份，如果任务计划被修改了，说明还原点就失效了。

Windows事件日志为终端安全检测提供了许多丰富的数据，根据Windows事件日志可以还原一个攻击事件的发生过程，正是因为事件日志记录了各种行为，勒索病毒也可能会在勒索前将系统日志服务关闭，在SolarWinds事件发生期间，APT29也使用了防御削弱技术，来阻止系统收集审核日志。

关闭日志服务的方式有很多，这里举例三种常见的攻击方式：

1.使用cmd命令关闭日志服务（管理员权限）：

PowerShellsc stop eventlogsc config eventlog start=disabled

2.使用Powershell命令关闭日志服务（管理员权限）：

3.使用wevtutil禁用某个指定日志类型（管理员权限）：

Microsoft-Windows-IKE提供程序记录的事件包括IKE的各种操作、连接的建立和断开、密钥的生成和使用、证书的验证和更新等。通过查看这些事件，系统管理员可以了解IKE连接的状态和性能，帮助诊断和解决与VPN相关的问题。RansomEXX勒索软件就是使用了这个手段来禁用Microsoft-Windows-IKE/Operational日志。

PowerShellwevtutil sl "Microsoft-Windows-IKE/Operational" /e:false

检测思路：

针对系统关键服务进行监控，并且可以采用Sysmon相关工具对系统日志进行收集，外发至SEIM平台进行规则分析。

在某些情况下，防火墙可能严格控制了哪些软件可以访问互联网，而勒索病毒会在启动勒索之前，会禁用或修改系统防火墙规则，因为防火墙可以控制哪些软件可以访问互联网，从而阻止勒索软件的通信（数据外发）。对于攻击者来说，禁用或修改防火墙可以使勒索软件能够更轻松地与控制服务器通信，从而更难被检测和清除。

勒索病毒常用的命令如下：

Plaintextnetsh advfirewall set allprofiles state off

其实netsh相关的攻击技术还是挺多的，不止是启用/关闭防火墙，它还可以查看无线连接的凭证、设置端口转发、加载DLL模块执行恶意代码等等。

检测思路：

日志路径：Microsoft-Windows-Windows Firewall With Advanced Security/Firewall

系统事件ID：2003

通过netsh关闭防火墙产生事件ID为2003的日志：

指标阻断（Indicator Blocking），其目的是通过阻止或隐藏安全工具和技术收集的指标数据，来使攻击者在受害系统上保持持久性并尽可能长时间地保持未被发现状态。现有的终端防护产品（EDR）大量采用了ETW（Event Trace for Windows）技术来采集各类事件的实时日志进行分析，ETW是一个高效的内核级别的事件追踪机制，它可以记录系统内核或是应用程序的事件到日志文件。我们可以通过实时获取或是从一个日志文件来解析处理这些事件，之后通过这些事件用来调试程序或是找到程序的性能问题。

ETW特点：

Black Hat 2021 有一个议题，专门演示了如何禁用Process Monitor的事件监控，并且提供了36种方式可以使得攻击事件不被EDR发现。

同时在ATT&CKT1562.006技术介绍中也有提到影响ETW的方法，抽取其中之一方法介绍 —— Patch EtwEventWrite ，系统所有的事件都由EtwEventWrite返回，攻击者只需要Patch Ntdll 的EtwEventWrite函数返回值即可阻止ETW事件的发送。

Hiding Your .NET – ETW演示了如何Patch EtwEventWrite导致EDR无法监测到.NET程序的反射加载执行事件，这对于比较依赖内存执行C#程序的远控工具是一个很不错的对抗技巧。

检测思路/防御思路：

1.监控关于ETW的注册表项：HKLMSYSTEMCurrentControlSetControlWMIAutologgerAUTOLOGGER_NAME{PROVIDER_GUID} （当然这个只是其中一种）

2.对报告中断的情况（日志外发中断、监控服务意外结束等）建立响应机制

• T1562: Impair Defenses

•  https://github.com/nsacyber/Event-Forwarding-Guidance/tree/master/Events

• https://i.blackhat.com/EU-21/Wednesday/EU-21-Teodorescu-Veni-No-Vidi-No-Vici-Attacks-On-ETW-Blind-EDRs.pdf

• https://thedfirreport.com/2022/04/04/stolen-images-campaign-ends-in-conti-ransomware/

• https://thedfirreport.com/2021/11/15/exchange-exploit-leads-to-domain-wide-ransomware/