{{Microsoft Defender predictive shielding blokuje GPO ransomware}}

{{## Wprowadzenie Najnowsze studium przypadku Defender od Microsoft pokazuje rosnącą taktykę ransomware: wykorzystywanie Group Policy Objects (GPO) do wyłączania narzędzi zabezpieczających i dystrybucji ładunków na dużą skalę. Dla zespołów IT i security ma to znaczenie, ponieważ GPO są zaufanym mechanizmem administracyjnym w większości środowisk Windows, co czyni je atrakcyjną ścieżką ataku dla ransomware obsługiwanego przez człowieka.

Co się wydarzyło

Microsoft zbadał atak na dużą instytucję edukacyjną dysponującą tysiącami urządzeń, 33 serwerami, 11 kontrolerami domeny i 2 serwerami Entra Connect. Atakujący uzyskał już dostęp Domain Admin i przeszedł przez kilka znanych etapów:

• Rozpoznanie: enumeracja Active Directory i aktywność brute-force
• Dostęp do poświadczeń: aktywność Kerberoasting i zrzut NTDS
• Ruch lateralny: użycie poświadczeń o wysokich uprawnieniach i tworzenie kont lokalnych w celu utrzymania dostępu
• Próba wpływu: manipulacja oparta na GPO i wdrożenie ransomware

Jak działał atak z użyciem GPO

Atakujący wykorzystał GPO w dwóch etapach:

• Etap 1: Manipulacja zabezpieczeniami
  Złośliwy GPO próbował wyłączyć kluczowe mechanizmy ochronne Defender, w tym ochronę w czasie rzeczywistym i monitorowanie behawioralne.

• Etap 2: Dystrybucja ransomware
  Około 10 minut później atakujący utworzył kolejny GPO, który wdrażał zaplanowane zadanie kopiujące i uruchamiające pliki ransomware z SYSVOL.

Jest to skuteczne, ponieważ atakujący musi ustawić politykę tylko raz; urządzenia dołączone do domeny wykonują resztę automatycznie.

Jak Defender to zatrzymał

Predictive shielding w Defender rozpoznał manipulację GPO jako prawdopodobny zwiastun ransomware i uruchomił GPO hardening, zanim ransomware rozprzestrzeniane przez GPO mogło objąć szerszy zakres urządzeń.

Kluczowe wyniki ze studium przypadku:

• Zero urządzeń zaszyfrowanych przez ścieżkę GPO
• Łącznie zablokowano około 97% prób szyfrowania
• 700 urządzeń otrzymało ochronę GPO hardening
• Zakłócono działanie ponad tuzina przejętych encji
• Zablokowano tysiące prób uwierzytelnienia i uzyskania dostępu przez atakującego

Dlaczego to ważne dla administratorów

Ten incydent pokazuje, że operatorzy ransomware coraz częściej nadużywają standardowych narzędzi do zarządzania IT, zamiast polegać wyłącznie na oczywistych metodach dostarczania malware. GPO, zaplanowane zadania, SMB i narzędzia do zdalnej administracji to wszystko legalne mechanizmy operacyjne, co utrudnia wykrycie nadużyć bez zaawansowanych mechanizmów detekcji i reagowania.

Dla administratorów wniosek jest jasny: przejęcie tożsamości połączone z nadużyciem GPO może szybko przerodzić się w incydent obejmujący całe przedsiębiorstwo.

Zalecane kolejne kroki

• Przejrzyj ekspozycję kont uprzywilejowanych, zwłaszcza użycie Domain Admin
• Przeprowadź audyt ostatnich zmian GPO i wdrożeń zaplanowanych zadań
• Zbadaj oznaki Kerberoasting, dostępu do NTDS i nietypowego uruchamiania opartego na SMB
• Upewnij się, że możliwości attack disruption w Microsoft Defender są włączone
• Zweryfikuj tamper protection w Defender oraz pokrycie endpointów na wszystkich urządzeniach dołączonych do domeny
• Monitoruj SYSVOL pod kątem nieoczekiwanych skryptów, plików wykonywalnych i bibliotek DLL

Organizacje korzystające z Microsoft Defender powinny potraktować ten przypadek jako przypomnienie, by wzmacniać ochronę tożsamości, monitorować narzędzia administracyjne i przygotować się na kampanie ransomware nadużywające natywnych mechanizmów kontroli przedsiębiorstwa.}}