Raccine: herramienta código abierto

Combinaciones maliciosas:

• delete y shadows (vssadmin, diskshadow)
•  resize y shadowstorage (vssadmin)
• delete y shadowstorage (vssadmin)
• delete y shadowcopy (wmic)
• delete y catalog y -quiet (wbadmin)
• win32_shadowcopy o element de una lista de conandos encodeados (powershell)
• recoveryenabled (bcedit)
• ignoreallfailures (bcedit)

Presionar MAYÚS al abrir un archivo

 Mitigarlo sería subir las restricciones de todas las máquinas que tengas en dominio a, por ejemplo, "AllSigned". La buena noticia es que no hay que hacerlo a mano, que se puede hacer mediante política de grupo. 

gpedit.msc

 Navega hasta

Configuración del equipo --> Plantillas administrativas --> Componentes de Windows --> Windows PowerShell

Elige la opción

Activar la ejecución de scripts 

Elige Habilitar y una opción de Directiva de ejecución:

• Permitir solo scripts firmados
• Permitir scripts locales y scripts remotos firmados
• Permitir todos los scripts

La alternativa es restringir completamente el acceso a PowerShell, aunque pierdes la capacidad de automatizar procesos en máquinas del dominio.

C:\Windows\System32\WindowsPowerShell\v1.0.

5.a Editor de directivas locales y de grupo (Group Policy Object, GPO)

C:\Users\\AppData\Local\.exe (Vista/7/8)
C:\Users\\AppData\Local\.exe (Vista/7/8)
C:\Documents and Settings\\Application Data\.exe (XP)
C:\Documents and Settings\\Local Application Data\.exe (XP)

%appdata%\*.exe
%appdata%\*\*.exe
%localappdata%\*.exe
%localappdata%\*\*.exe

Bloquear ejecutable CryptoLocker en %AppData%

Ruta: %AppData%\*.exe
Security Level: Disallowed
Descripción: Don't allow executables to run from %AppData%.

Bloquear ejecutable CryptoLocker en %LocalAppData%

Ruta usando Windows XP: %UserProfile%\Local Settings\*.exe
Ruta usando Windows Vista/7/8: %LocalAppData%\*.exe
Security Level: Disallowed
Descripción: Don't allow executables to run from %AppData%.

Bloquear ejecutable Zbot en %AppData%

Ruta: %AppData%\*\*.exe
Security Level: Disallowed
Descripción: Don't allow executables to run from immediate subfolders of %AppData%.

Block ejecutable Zbot en %LocalAppData%

Ruta con Windows XP: %UserProfile%\Local Settings\*\*.exe
Ruta Windows Vista/7/8: %LocalAppData%\*\*.exe
Security Level: Disallowed
Descripción: Don't allow executables to run from immediate subfolders of %AppData%.

Bloquear ejecutables de un archivo adjunto abierto con WinRAR:

Ruta en Windows XP: %UserProfile%\Local Settings\Temp\Rar*\*.exe
Ruta en Windows Vista/7/8: %LocalAppData%\Temp\Rar*\*.exe
Security Level: Disallowed
Descripción: Block executables run from archive attachments opened with WinRAR.

Bloquear ejecutables de un archivo adjunto abierto con 7zip:

Ruta en Windows XP: %UserProfile%\Local Settings\Temp\7z*\*.exe
Ruta en Windows Vista/7/8: %LocalAppData%\Temp\7z*\*.exe
Security Level: Disallowed
Descripción: Block executables run from archive attachments opened with 7zip.

Bloquear ejecutables de un archivo abierto con WinZip:

Ruta en Windows XP: %UserProfile%\Local Settings\Temp\wz*\*.exe
Ruta en Windows Vista/7/8: %LocalAppData%\Temp\wz*\*.exe
Security Level: Disallowed
Descripción: Block executables run from archive attachments opened with WinZip.

Bloquear ejecutables de ficheros adjuntos usando compresor de Windows:

Ruta para Windows XP: %UserProfile%\Local Settings\Temp\*.zip\*.exe
Ruta para Windows Vista/7/8: %LocalAppData%\Temp\*.zip\*.exe
Security Level: Disallowed
Descripción: Block executables run from archive attachments opened using Windows built-in Zip support.

6. Windows: GPO para prevenir Cryptolocker

ADE ADE File
ADP ADP File
BAS BAS File
BAT Windows Batch File
CHM Compiled HTML Help file
CMD Windows Command Script
COM MS-DOS Application
CPL Control panel item
CRT Security Certificate
EXE Application
HLP Help file
HTA HTML Application
INF Setup Information
INS INS File
ISP ISP File
LNK Shortcut
MDB MDB File
MDE MDE File
MSC Microsoft Common Console Document
MSI Windows Installer Package
MSP Windows Installer Patch
MST MST File
OCX ActiveX control
PCD PCD File
PIF Shortcut to MS-DOS Program
REG Registration Entries
SCR Screen saver
SHS SHS File
URL Internet Shortcut
VB VB File
WSC Windows Script Component

%AppData%\
%AppData%\*\
%localappdata%\
%localappdata%\*\
%localappdata%\Microsoft\Windows\Temporary Internet Files\
%localappdata%\Microsoft\Windows\Temporary Internet Files\Content.Outlook\
%localappdata%\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\
%localappdata%\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\*\
%Temp%\
%Temp%\$*\
%Temp%\*.zip\
%userprofile%\

%Temp%\Procmon64.exe
%localappdata%\*\Procmon64.exe
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir%

 

7. Cómo protegerse contra Cryptolocker en Windows 2012

 

Vamos a implementar una solución basada en el Administrador de recursos del servidor de archivos(File Server Resource Manager), conjunto de herramientas que permite administrar la cantidad y el tipo de datos almacenados en los servidores. Esta opción está disponible de manera gratuita en Windows Server 2012, añadiendo simplemente las características correspondientes dentro del servidor de ficheros.

El Administrador de recursos del servidor de archivos es un conjunto de herramientas de Windows Server® 2008 que permite a los administradores entender, controlar y administrar la cantidad y el tipo de datos almacenados en los servidores. Los administradores pueden utilizarlo para asignar cuotas a carpetas y volúmenes, realizar un filtrado activo de los archivos y generar informes de almacenamiento exhaustivos. Este conjunto de instrumentos avanzados no sólo permite al administrador supervisar los recursos de almacenamiento existentes, sino que además le ayuda a planear e implementar futuros cambios de directivas.

En el nodo Administración del filtrado de archivos del complemento MMC del Administrador de recursos del servidor de archivos, puede realizar las siguientes tareas:

• Crear filtros de archivos para controlar los tipos de archivos que los usuarios pueden guardar y generar notificaciones cuando los usuarios intenten guardar archivos no autorizados.
• Definir plantillas de filtrado de archivos que puedan aplicarse a nuevos volúmenes o carpetas y que pueden utilizarse en toda una organización.
• Crear excepciones de filtrado de archivos que amplíen la flexibilidad de las reglas de filtrado de archivos.

Por ejemplo, puede:

• Garantizar que no se almacenen archivos de música en las carpetas personales de un servidor y, al mismo tiempo, permitir el almacenamiento de tipos concretos de archivos multimedia que admitan la administración de derechos legales o que cumplan las directivas de la compañía. En el mismo escenario, puede que desee conceder a un vicepresidente de la compañía privilegios especiales para almacenar cualquier tipo de archivos en su carpeta personal.
• Implementar un proceso de filtrado para enviarle una notificación por correo electrónico cada vez que se almacene un archivo ejecutable en una carpeta compartida, que incluya información del usuario que almacenó el archivo y la ubicación exacta de éste, de modo que puedan tomarse las medidas preventivas pertinentes.

Cómo monitorizar ficheros dentro de un servidor Windows 2012

Comenzaremos en la selección de roles de servidor, seleccionando el administrador de recursos:

 El concepto a desplegar es sencillo: monitorizar los ficheros dentro del servidor. Para ello, introduciremos una serie de extensiones maliciosas empleadas por el malware para cifrar los archivos, poniendo un “señuelo” en esas carpetas para que en caso de infección, se detecte el proceso y se detenga.

Lo primero que debemos hacer es tener una lista de extensiones empleadas por el malware más o menos actualizadas.

Pongamos como punto de partida este listado:

*.*AES256
*.*cry
*.*crypto
*.*darkness
*.*enc*
*.*kb15
*.*kraken
*.*locked
*.*nochance
*.*oshit
*.*exx
*@gmail_com_*
*@india.com*
*cpyt*
*crypt*
*decipher*
*install_tor*.*
*keemail.me*
*qq_com*
*ukr.net*
*restore_fi*.*
*help_restore*.*
*how_to_recover*.*
*.ecc
*.exx
*.ezz
*.frtrss
*.vault
*want your files back.*
confirmation.key
enc_files.txt
last_chance.txt
message.txt
recovery_file.txt
recovery_key.txt
vault.hta
vault.key
vault.txt
*.aaa
*help_your_files*.*

En el Administrador de recursos creamos un grupo de archivos que incluya este tipo de extensiones:

 El siguiente paso es crear una plantilla de actuación, en la que definiremos el comportamiento deseado ante la detección de un fichero con la extensión mencionada:

Una de las opciones básicas es configurar un mensaje y cuenta de correo para notificar el incidente:

A continuación sería una buena idea escribir un evento en el registro de Windows para reenviar posteriormente a un sistema de correlación SIEM o simplemente para efectos de control.

Claro que no solo queremos detectar una posible infección por ransomware, sino que queremos prevenir o mitigar las temidas consecuencias. Para ello, habilitamos una sesión de comandos al encontrar un cambio en los ficheros:

El comando o los comandos que podemos ejecutar mediante este “disparador” o monitor son infinitos. 

Podemos optar por apagar el servidor de ficheros, bloquear el acceso al usuario de red que ha intentado modificar los ficheros (el malware), o bloquear la dirección IP de entrada al servidor desde el equipo que origina la infección.

Particularmente prefiero apagar el servidor. Esto dejará a los usuarios sin servicio, pero es una manera radical de evitar la infección.

Por último, configuramos dónde queremos que se aplique el filtro:

Tenemos que ser conscientes de que este servicio de monitorización consume recursos en el sistema, y que en grandes entornos con miles y millones de ficheros podría producir penalizaciones en el rendimiento del servicio.

Para ello empleamos un pequeño truco. En los sistemas Windows el guion bajo (­_) es el primer carácter que aparece en una ordenación, por lo que creamos una carpeta con este nombre y será la que sea monitorizada.

A efectos prácticos en caso de producirse una infección, el proceso de cifrado comienza por la carpeta “señuelo”.

En un entorno real, se produce un lapsus de tiempo entre que el malware comienza a cifrar la carpeta señuelo, ejecuta el comando deseado (apagar) y se apaga el equipo o se ejecuta cualquiera otra opción, por lo que tenemos que contar con 5/10 ficheros cifrados.

Este es un pequeño defecto en el concepto, aunque en un entorno de millones de ficheros es un mal menor, que seguro estamos dispuestos a pagar por evitar el temido cifrado del servidor de ficheros.

Para terminar, podemos ver cómo se ha producido el correspondiente registro en el visor de eventos. En esta prueba, un simple cambio manual de nombre de fichero:

Opciones más avanzadas

Configurar el Firewall de Windows en todos nuestros hosts para bloquear técnicas ampliamente utilizadas como el uso de PowerShell.exe u otros LOLBAS (Living Off The Land Binaries and Scripts). 

Utilice las políticas de Windows Firwall para bloquear el acceso de los binarios al llamado "Alcance Remoto". Estos binarios incluyen powershell.exe, bitsadmin.exe, certutil.exe, regsrv32.exe, mshta.exe, msbuild.exe, hh.exe, makecab.exe, ieexec.exe, extract.exe, expand.exe (consulte los enlaces para detalles)

Bloquear binarios

• powershell.exe (ATT&CK T1086)
• regsvr32.exe (ATT&CK T1117)
• mshta.exe (ATT&CK T1170)
• bitsadmin.exe (ATT&CK T1197)
• certutil.exe (ATT&CK T1105)
• msbuild.exe
• hh.exe
• makecab.exe
• ieexec.exe
• expand.exe
• extrac.exe

Deshabilitar SMB v1

HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

Registry entry: SMB1

REG_DWORD = “0” (Disabled)

Clientes:

HKLM\SYSTEM\CurrentControlSet\services\mrxsmb10

Registry entry: Start

REG_DWORD = “4” (Disabled)

HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation

Registry entry: DependOnService

REG_MULTI_SZ: “Bowser”,“MRxSmb20”,“NSI”

Deshabilitar Windows Remote Management (WinRM) 

Disable-PSRemoting -Force

Stop-Service WinRM -PassThruSet-Service WinRM -StartupType Disabled 

Regla Firewall Windows:

netsh advfirewall firewall set rule group=”Windows Remote Management” new enable=no

Fuentes:
https://josecarlosnietoramos.wordpress.com/2015/01/30/como-evitar-que-el-ordenador-se-infecte-con-cryptolocker/
https://www.welivesecurity.com/la-es/2016/04/12/evitar-ransomware-cifre-servidor-de-ficheros-w2012/
http://www.hackplayers.com/2016/04/de-como-protegerse-contra-cryptolocker-2.html
http://www.sysadmit.com/2015/04/windows-gpo-para-prevenir-cryptolocker.html