Predictive shielding в Microsoft Defender против GPO-шифровальщика

Введение

Последний разбор инцидента от Microsoft Defender показывает растущую тактику ransomware: злоумышленники используют Group Policy Objects (GPO), чтобы отключать средства безопасности и массово распространять вредоносные нагрузки. Для ИТ- и security-команд это важно, потому что GPO — доверенный административный механизм в большинстве Windows-сред, что делает его привлекательным вектором атаки для ransomware, управляемого человеком.

Что произошло

Microsoft расследовала атаку на крупное образовательное учреждение с тысячами устройств, 33 серверами, 11 контроллерами домена и 2 серверами Entra Connect. Злоумышленник уже получил доступ Domain Admin и прошёл через несколько знакомых этапов:

• Разведка: перечисление Active Directory и brute-force-активность
• Доступ к учётным данным: Kerberoasting и активность NTDS dump
• Боковое перемещение: использование высокопривилегированных учётных данных и создание локальных учётных записей для закрепления
• Попытка воздействия: вмешательство через GPO и развёртывание ransomware

Как работала атака через GPO

Злоумышленник использовал GPO в два этапа:

• Этап 1: Вмешательство в безопасность
  Вредоносная GPO пыталась отключить ключевые механизмы защиты Defender, включая защиту в реальном времени и поведенческий мониторинг.

• Этап 2: Распространение ransomware
  Примерно через 10 минут злоумышленник создал ещё одну GPO, которая разворачивала scheduled task для копирования и запуска файлов ransomware из SYSVOL.

Это эффективно, потому что злоумышленнику достаточно настроить политику один раз; устройства, присоединённые к домену, выполняют остальное автоматически.

Как Defender это остановил

Predictive shielding в Defender распознал вмешательство в GPO как вероятный предвестник ransomware и запустил GPO hardening до того, как GPO с ransomware успела широко распространиться.

Ключевые результаты из разбора инцидента:

• Ноль устройств было зашифровано через путь GPO
• Около 97% попыток шифрования было заблокировано в целом
• 700 устройств получили защиту GPO hardening
• Было нарушено более дюжины скомпрометированных сущностей
• Были заблокированы тысячи попыток аутентификации и доступа со стороны атакующего

Почему это важно для администраторов

Этот инцидент показывает, что операторы ransomware всё чаще злоупотребляют стандартными инструментами ИТ-администрирования, а не полагаются только на очевидные методы доставки malware. GPO, scheduled tasks, SMB и инструменты удалённого администрирования — всё это легитимные операционные механизмы, поэтому обнаружить злоупотребление без продвинутых средств обнаружения и реагирования сложнее.

Для администраторов вывод очевиден: компрометация identity в сочетании со злоупотреблением GPO может быстро перерасти в инцидент уровня всего предприятия.

Рекомендуемые следующие шаги

• Проверьте подверженность привилегированных учётных записей, особенно использование Domain Admin
• Аудируйте недавние изменения GPO и развёртывания scheduled tasks
• Ищите признаки Kerberoasting, доступа к NTDS и необычного выполнения через SMB
• Убедитесь, что возможности attack disruption в Microsoft Defender включены
• Проверьте, что tamper protection в Defender и покрытие endpoint включены на всех устройствах, присоединённых к домену
• Мониторьте SYSVOL на предмет неожиданных скриптов, исполняемых файлов и DLL

Организациям, использующим Microsoft Defender, стоит воспринимать этот случай как напоминание о необходимости усиливать защиту identity, отслеживать административные инструменты и готовиться к ransomware-кампаниям, злоупотребляющим встроенными корпоративными средствами управления.