Microsoft Defender predictive shielding stopper GPO-ransomware

Introduktion

Microsofts seneste Defender-case study fremhæver en voksende ransomware-taktik: misbrug af Group Policy Objects (GPO'er) til at deaktivere sikkerhedsværktøjer og distribuere payloads i stor skala. For IT- og sikkerhedsteams er dette vigtigt, fordi GPO'er er betroede administrative mekanismer i de fleste Windows-miljøer, hvilket gør dem til en attraktiv angrebsvej for menneskestyret ransomware.

Hvad skete der

Microsoft undersøgte et angreb mod en stor uddannelsesinstitution med tusindvis af enheder, 33 servere, 11 domain controllers og 2 Entra Connect-servere. Angriberen havde allerede opnået Domain Admin-adgang og bevægede sig gennem flere velkendte faser:

• Rekognoscering: Active Directory-enumerering og brute-force-aktivitet
• Adgang til legitimationsoplysninger: Kerberoasting og NTDS dump-aktivitet
• Lateral movement: Brug af legitimationsoplysninger med høje privilegier og oprettelse af lokale konti for persistens
• Forsøg på påvirkning: GPO-baseret manipulation og ransomware-udrulning

Sådan fungerede GPO-angrebet

Angriberen brugte GPO'er i to faser:

• Fase 1: Sikkerhedsmanipulation
  En ondsindet GPO forsøgte at deaktivere centrale Defender-beskyttelser, herunder real-time protection og behavioral monitoring.

• Fase 2: Ransomware-distribution
  Omkring 10 minutter senere oprettede angriberen endnu en GPO, som implementerede en scheduled task til at kopiere og køre ransomware-filer fra SYSVOL.

Dette er effektivt, fordi angriberen kun behøver at angive politikken én gang; domain-joined enheder klarer resten automatisk.

Sådan stoppede Defender det

Defenders predictive shielding genkendte GPO-manipulationen som en sandsynlig forløber for ransomware og udløste GPO hardening, før ransomware-GPO'en kunne sprede sig bredt.

Vigtige resultater fra case study'et:

• Nul enheder krypteret via GPO-vejen
• Cirka 97 % af den forsøgte krypteringsaktivitet blev samlet set blokeret
• 700 enheder modtog GPO hardening-beskyttelse
• Mere end et dusin kompromitterede entiteter blev afbrudt
• Tusindvis af angriberes godkendelses- og adgangsforsøg blev blokeret

Hvorfor dette er vigtigt for administratorer

Hændelsen viser, at ransomware-operatører i stigende grad misbruger standardværktøjer til IT-administration i stedet for kun at stole på åbenlyse malware-leveringsmetoder. GPO'er, scheduled tasks, SMB og værktøjer til fjernadministration er alle legitime driftsmekanismer, hvilket gør misbrug sværere at opdage uden avanceret registrering og respons.

For administratorer er læringen klar: kompromitteret identitet kombineret med GPO-misbrug kan hurtigt udvikle sig til en hændelse på tværs af hele virksomheden.

Anbefalede næste skridt

• Gennemgå eksponering af privilegerede konti, især brug af Domain Admin
• Auditer nylige GPO-ændringer og udrulninger af scheduled tasks
• Undersøg tegn på Kerberoasting, NTDS-adgang og usædvanlig SMB-baseret eksekvering
• Sørg for, at Microsoft Defender attack disruption-funktioner er aktiveret
• Bekræft Defender tamper protection og endpoint-dækning på tværs af alle domain-joined enheder
• Overvåg SYSVOL for uventede scripts, eksekverbare filer og DLL'er

Organisationer, der bruger Microsoft Defender, bør se denne sag som en påmindelse om at hærde identitet, overvåge administrative værktøjer og forberede sig på ransomware-kampagner, der misbruger indbyggede enterprise-kontroller.