Windows Killed Process Canary

A Windows Service to detect if it has been shutdown and hibernate if multiple instances are.

Released as open source by NCC Group Plc - http://www.nccgroup.com/

Developed by Ollie Whitehouse, ollie dot whitehouse at nccgroup dot com

https://github.com/nccgroup/KilledProcessCanary

Released under AGPL see LICENSE for more information

Hypothesis

特定の脅威アクターは、ランサムウェアで暗号化する前に、多数のサービスを停止したり、多数のプロセスを強制終了したりします。私たちは、互いを監視し合う複数のカナリアプロセスを配置します。これらのサービスが（net stopなどによって）停止された際、それがホストのシャットダウン中でなければ、Canary DNSトークンを発火させ、ホストを休止状態にします。これにより、以下のことが可能になります：

• 暗号化が成功する影響/可能性を最小限に抑える
• RAMからの鍵回復の可能性を最大限に高める

Compatibility

Windowsのすべてのバージョンで動作するはずです。

What it does

簡単に言うと：

• ミューテックスを作成し、実行中インスタンスの数を共有する
• カナリアサービスに対するnet stopはその数を減らす
• その数が2未満になった場合、ホスト名を含むDNSカナリアトークンを発火させ、ホストを休止状態にする

How to Use

• カナリアトークンのURLを置き換える
• SWOLLENRIVERをコンパイルする
• 少なくとも2つの対象Windowsサービスを、通常のパスに配置する
• Windowsサービスをインストールする。例：

New-Service -Name "MSSQL" -BinaryPathName "C:\Program Files\Microsoft SQL Server\sqlserver.exe"

• 開始する
• ...利益を得る

History

このアイデアの起源は、Harry氏との議論に由来します。

TTP Examples for Ryuk

• https://www.carbonblack.com/blog/vmware-carbon-black-tau-ryuk-ransomware-technical-analysis/
• https://www.crowdstrike.com/blog/big-game-hunting-with-ryuk-another-lucrative-targeted-ransomware/

例：

net stop avpsus /y
net stop McAfeeDLPAgentService /y
net stop mfewc /y
net stop BMR Boot Service /y
net stop NetBackup BMR MTFTP Service /y

Example DNS Canary Fire

これは、Canary Token (https://www.canarytokens.org/) DNSトークンを使用して、ホスト名と休止状態であるという事実を、ここ https://docs.canarytokens.org/guide/dns-token.html#creating-a-dns-token に文書化されている補助情報メカニズムを介してエンコードします。

これを機能させるには、ここのREPLACEMEを置き換える必要があります： https://github.com/nccgroup/KilledProcessCanary/blob/master/Program.cs#L241

以下は、見られるアラートの例です：