mukendi/kratosminifilterKratos Minifilter는 실시간 랜섬웨어 탐지 및 파일 I/O 완화를 위해 제작된 Windows 커널 드라이버(FLTMGR.SYS)입니다. 저수준 IRP를 가로채어 무단 대량 암호화 및 카나리 트리거를 즉시 차단합니다.
Kratos Minifilter는 실시간 랜섬웨어 탐지 및 파일 I/O 완화를 위해 제작된 Windows 커널 드라이버(FLTMGR.SYS)입니다. 저수준 IRP를 가로채어 무단 대량 암호화와 카나리 트리거를 즉시 차단합니다.
Kratos는 Microsoft의 Filter Manager(fltmgr.sys) 위에 구축된 연구용 Windows 파일 시스템 미니필터입니다.
악성코드 시그니처에 의존하는 대신, Kratos는 Windows 커널 내부에서 파일 시스템 동작을 직접 관찰하여 랜섬웨어를 탐지할 수 있는 방법을 탐구합니다.
이 프로젝트는 보안 드라이버가 어떻게 다음을 수행할 수 있는지 보여줍니다:
Kratos는 상용 안티바이러스가 되는 것을 목표로 하지 않습니다.
주요 목표는 현대의 엔드포인트 탐지 및 대응(EDR) 제품이 Windows 커널 내부에서 행위 기반 랜섬웨어 탐지를 어떻게 구현하는지 이해하는 것입니다.
Kratos는 세 가지 독립적인 탐지 계층을 결합합니다.
각 쓰기 작업은 샘플링됩니다.
커널 내부에서 사용할 수 없는 부동 소수점 함수를 호출하는 대신, Kratos는 미리 계산된 조회 테이블을 사용합니다.
탐지기는 다음을 식별합니다:
랜섬웨어가 확인되면, Kratos는 실행 파일로부터 64비트 FNV-1a 핑거프린트를 계산합니다.
핑거프린트는 다음 위치에 저장됩니다:
HKLM\SOFTWARE\Kratos\Blacklist
향후 실행은 랜섬웨어가 파일을 암호화하기 전에 차단됩니다.
파일 이름 기반 블랙리스트와 달리, 핑거프린팅은 다음에도 유지됩니다:
다음은 커널 로그에서 재구성한, Kratos(제가 개발 중인 안티랜섬웨어 미니필터 드라이버)에 의한 이 Ring 0 무력화의 정확한 연대기입니다—하이퍼바이저 공유 폴더에서 예상치 못한 반전이 있습니다:
1. 노트 드롭 (조용한 통과) DarkSide는 .txt 랜섬 노트를 생성하는 것으로 시작합니다. 텍스트 파일은 낮은 엔트로피와 표준 I/O 패턴을 생성하기 때문에, Kratos는 경고를 트리거하지 않습니다. 의도적인 아키텍처 선택: 정상적인 텍스트 편집기와 오피스 소프트웨어에 대한 오탐 제로.
2. 행위 위반 (게스트 VM) 악성코드는 .27efa0d1 확장자로 데스크톱 파일을 대상으로 하는 파괴 단계로 전환합니다. 3건의 의심스러운 이름 변경(ZIP 아카이브 1개와 PNG 이미지 2개) 후, 구문 분석과 높은 엔트로피가 결합되어 위협 점수가 임계 임계값(\ge 80)을 초과합니다. 조치: Kratos는 I/O를 거부하고(STATUS_ACCESS_DENIED), 프로세스(PID 6412)를 종료하며, PE 헤더의 처음 4096바이트를 샘플링하고, FNV-1a 해시(07BACD78B04E01D9)를 커널 블랙리스트에 등록합니다.
3. 경계를 넘는 공격: HOST 시스템 구출! 두 번째 스레드(PID 5236)가 HarddiskVolume5의 blog-security-main 디렉터리로 돌진합니다. 반전: 이 볼륨은 HOST 물리 드라이브에 연결된 하이퍼바이저의 공유 폴더에 직접 매핑되어 있었습니다. DarkSide는 게스트에서 호스트로의 측면 감염을 시도하고 있었습니다. 결과: 모든 볼륨에 연결된 Kratos는 단 2개의 파일(about.html과 웹 페이지) 후에 이름 변경을 가로챕니다. 프로세스는 즉시 종료되어 호스트 기반 프로젝트를 온전히 보존합니다.
4. 최후의 일격: O(1) 면역화 바이너리의 세 번째 실행 시도가 시작됩니다(PID 704). PreCreate 콜백에서 Kratos는 PE 헤더를 해시하고, 블랙리스트에 등록된 핑거프린트와 일치시키며, 실행을 근원에서 차단합니다: 0개의 파일이 건드려짐.
영향을 받은 사용자 파일: 총 5개 (게스트 3개, 공유 폴더를 통한 호스트 2개).
게스트에서 호스트로의 게스트에서 호스트로의 측면 감염: VM 내부 Ring 0에서 완전히 차단됨.
대응 시간: 마이크로초 (고정 소수점 LUT 엔트로피 계산, 부동 소수점 연산 제로)
사전 방어: 재실행 시 100% FNV-1a 핑거프린팅 효율성.
그림 : Kratos vs DarkSide