neo23x0/raccineUn semplice vaccino contro il ransomware
Una semplice protezione contro i ransomware
Vediamo spesso ransomware eliminare tutte le copie shadow usando vssadmin. E se potessimo semplicemente intercettare quella richiesta e terminare il processo che la invoca? Proviamo a creare un semplice vaccino.
Registriamo un debugger per vssadmin.exe (e wmic.exe), che è il nostro raccine.exe compilato. Raccine è un binario che prima raccoglie tutti i PID dei processi padre e poi tenta di terminare tutti i processi padre.
Vantaggi:
vssadmin.exe o wmic.exe), il che potrebbe causare problemi di integrità e rompere la nostra raccinazione a ogni patch daySvantaggi / Punti ciechi:
vssadmin.exe delete shadows (o qualsiasi altra combinazione in lista nera) non è più possibilevssadmin.exe delete shadows, che potrebbero essere un processo di backupvssadmin.exe (ad es. tramite schtasks)vssadmin.exe (e wmic.exe) viene intercettata e passata a raccine.exe come debugger (vssadmin.exe delete shadows diventa raccine.exe vssadmin.exe delete shadows)Combinazioni dannose:
delete e shadows (vssadmin, diskshadow)resize e shadowstorage (vssadmin)delete e shadowstorage (vssadmin)delete e shadowcopy (wmic)delete e catalog e -quiet (wbadmin)win32_shadowcopy o un elemento da un elenco di comandi codificati (powershell)recoveryenabled (bcedit)ignoreallfailures (bcedit)^ elenco obsoleto: controlla la regola YARA corrispondente
Elenco di comandi codificati di PowerShell: JAB, SQBFAF, SQBuAH, SUVYI, cwBhA, aWV4I, aQBlAHgA e molti altri
Emotet senza Raccine - Link
Emotet con Raccine - Link (ignora l'attività di processo correlata all'installazione di Raccine)
L'infezione viene stroncata sul nascere.
USALO A TUO RISCHIO!
Non potrai più eseguire comandi che utilizzano i comandi in lista nera su una macchina raccinata finché non applichi la patch di disinstallazione raccine-reg-patch-uninstall.reg. Questo potrebbe rompere varie soluzioni di backup che eseguono quel comando specifico durante il loro lavoro. Non bloccherà solo quella richiesta, ma terminerà tutti i processi in quell'albero, inclusa la soluzione di backup e il processo che la invoca.
Se disponi di un solido monitoraggio della sicurezza che registra tutte le esecuzioni dei processi, puoi controllare i tuoi log per vedere se vssadmin.exe delete shadows, vssadmin.exe resize shadowstorage ... o le altre righe di comando bloccate vengono usate frequentemente o sporadicamente per scopi legittimi; in tal caso dovresti evitare di usare Raccine.
delete e shadows nella riga di comando e altrimenti passa tutti i parametri a un nuovo processo che invoca vssadmin con i suoi parametri originaliexplorer.exe dalla whitelistwmic che chiama delete shadowcopy, nessun output per gli avvii di processi in whitelist (evita problemi con l'elaborazione dell'output di wmic)delete shadowstorage di @JohnLaTwC, revisione del codice di @_hillu, icona dell'applicazionebcdedit.exe /set {default} bootstatuspolicy ignoreallfailures e bcdedit.exe /set {default} recoveryenabled nopowershell.exe e win32_shadowcopy o un elenco di comandi codificatiC:\ProgramData\Raccine_log.txtdiskshadow.exe delete shadows