Defender predictive shielding zaustavlja GPO ransomware

Uvod

Najnovija Defender analiza slučaja kompanije Microsoft ističe rastuću ransomware taktiku: zloupotrebu Group Policy Object (GPO) mehanizama za onemogućavanje bezbednosnih alata i distribuciju payload-a u velikom obimu. Za IT i bezbednosne timove ovo je važno zato što su GPO-ovi pouzdani administrativni mehanizmi u većini Windows okruženja, što ih čini privlačnim putem napada za human-operated ransomware.

Šta se dogodilo

Microsoft je istraživao napad na veliku obrazovnu instituciju sa hiljadama uređaja, 33 servera, 11 domain controller-a i 2 Entra Connect servera. Napadač je već imao Domain Admin pristup i prošao je kroz nekoliko poznatih faza:

• Reconnaissance: enumeracija Active Directory okruženja i brute-force aktivnosti
• Credential access: Kerberoasting i NTDS dump aktivnosti
• Lateral movement: korišćenje naloga sa visokim privilegijama i kreiranje lokalnih naloga radi postojanosti
• Impact attempt: GPO-based menjanje podešavanja i isporuka ransomware-a

Kako je GPO napad funkcionisao

Napadač je koristio GPO-ove u dve faze:

• Faza 1: Manipulacija bezbednošću
  Zlonamerni GPO je pokušao da onemogući ključne Defender zaštite, uključujući real-time protection i behavioral monitoring.

• Faza 2: Distribucija ransomware-a
  Oko 10 minuta kasnije, napadač je kreirao drugi GPO koji je isporučio scheduled task za kopiranje i pokretanje ransomware fajlova iz SYSVOL lokacije.

Ovo je efikasno zato što napadač treba da podesi politiku samo jednom; uređaji pridruženi domenu automatski odrađuju ostatak.

Kako ga je Defender zaustavio

Defender predictive shielding je prepoznao GPO manipulaciju kao verovatnu prethodnicu ransomware napada i aktivirao GPO hardening pre nego što je ransomware GPO mogao da se široko proširi.

Ključni ishodi iz analize slučaja:

• Nijedan uređaj nije šifrovan putem GPO kanala
• Ukupno je blokirano oko 97% pokušaja enkripcije
• 700 uređaja je dobilo GPO hardening zaštitu
• Prekinuto je više od deset kompromitovanih entiteta
• Blokirane su hiljade pokušaja autentifikacije i pristupa od strane napadača

Zašto je ovo važno za administratore

Ovaj incident pokazuje da ransomware operateri sve češće zloupotrebljavaju standardne IT alate za upravljanje, umesto da se oslanjaju samo na očigledne metode isporuke malware-a. GPO-ovi, scheduled task-ovi, SMB i remote administration alati su legitimni operativni mehanizmi, što zloupotrebu čini težom za uočavanje bez napredne detekcije i odgovora.

Za administratore, pouka je jasna: kompromitacija identiteta uz zloupotrebu GPO-a može brzo prerasti u incident na nivou cele organizacije.

Preporučeni sledeći koraci

• Pregledajte izloženost privilegovanih naloga, posebno korišćenje Domain Admin naloga
• Revidirajte nedavne GPO izmene i isporuke scheduled task-ova
• Istražite znake Kerberoasting aktivnosti, NTDS pristupa i neuobičajenog izvršavanja putem SMB-a
• Uverite se da su Microsoft Defender attack disruption mogućnosti omogućene
• Proverite Defender tamper protection i endpoint pokrivenost na svim uređajima pridruženim domenu
• Nadgledajte SYSVOL zbog neočekivanih skripti, izvršnih fajlova i DLL-ova

Organizacije koje koriste Microsoft Defender treba da posmatraju ovaj slučaj kao podsetnik da ojačaju identitete, prate administrativne alate i pripreme se za ransomware kampanje koje zloupotrebljavaju izvorne enterprise kontrole.