A diferencia del ransomware tradicional que cifra datos, se ha descubierto una nueva técnica llamada GhostLock. Esta metodología logra interrumpir la operatividad de una organización sin necesidad de cifrar bytes en el disco, sino explotando el comportamiento estándar de archivos compartidos de Windows para bloquear el acceso a los archivos.

El ransomware tradicional interrumpe las organizaciones cifrando datos y exigiendo un pago por las claves de descifrado.

Sin embargo, una técnica recientemente revelada llamada GhostLock demuestra un ataque de disponibilidad fundamentalmente diferente que logra la misma interrupción empresarial sin escribir un solo byte cifrado en el disco.

Descubierto por Kim Dvash, líder de un equipo de seguridad ofensiva, GhostLock explota el comportamiento estándar de uso compartido de archivos de Windows para provocar fallos de accesibilidad generalizados.

Al mantener sistemáticamente los archivos en un estado de bloqueo exclusivo, un usuario de dominio con privilegios bajos y acceso de lectura estándar puede paralizar los recursos compartidos de archivos Server Message Block (SMB) corporativos. Desde la perspectiva de la víctima, el impacto es idéntico al de una infección por ransomware.

Los archivos críticos se vuelven inaccesibles, las aplicaciones de planificación de recursos empresariales (ERP) fallan y los flujos de trabajo compartidos se interrumpen, requiriendo la intervención de un especialista para restaurar las operaciones.

La técnica explota un comportamiento fundamental y bien documentado del sistema operativo Windows. Al invocar la API CreateFileW con el dwShareMode establecido en 0x00000000, cualquier usuario de dominio autenticado puede adquirir un manejador de denegación de uso compartido exclusivo sobre un archivo a través de SMB.

Esto fuerza un error STATUS_SHARING_VIOLATION (0xC0000043) para cualquier otro proceso o cliente de red que intente abrir ese archivo con cualquier propósito, incluyendo lectura, escritura o eliminación, hasta que el manejador se cierre voluntariamente o sea terminado forzosamente por un administrador de almacenamiento.

La superficie de ataque no es nueva. CreateFileW con dwShareMode = 0 es el mismo modo que utiliza Microsoft Office cuando abre un documento para editarlo, un comportamiento que existe desde Windows NT 3.1. No se ha registrado ningún CVE porque no hay un defecto de software que parchear.

Ataque GhostLock Explotado

GhostLock implementa esta única llamada a la API a través de un envoltorio de ctypes de Python que no requiere derechos administrativos ni dependencias externas.

Para escalar a través de un NAS empresarial, emplea un escáner paralelo de "robo de trabajo" de 32 hilos que paraleliza los viajes redondos de QUERY_DIRECTORY de SMB2, reduciendo el descubrimiento de archivos en un recurso compartido de 500,000 archivos de más de 61 minutos a aproximadamente 6 minutos y 22 segundos.

Las pruebas experimentales contra infraestructura aislada mostraron que la adquisición de manejadores en 500,000 archivos se completó en solo 2 minutos y 37 segundos, logrando una tasa de éxito de bloqueo del 99.6%.

Durante un período de retención de 60 segundos, las simulaciones de víctimas registraron una tasa de bloqueo de acceso a archivos del 99.8%. Una sola sesión SMB puede mantener hasta 64,000 manejadores exclusivos simultáneamente; con diez sesiones paralelas, un atacante puede superar los 500,000 manejadores bloqueados, lo suficiente para paralizar una fracción significativa de todo un despliegue de NAS empresarial.

Lo que hace que GhostLock sea particularmente peligroso es su evasión completa de cada capa de defensa convencional contra el ransomware. El documento evaluó la herramienta frente a siete categorías de control de seguridad empresarial:

• Archivos honeypot/canario: produjeron cero alertas; los canarios se activan en eventos de escritura, y GhostLock no realiza escrituras.
• Detectores de anomalías en la tasa de escritura: produjeron cero alertas; la métrica que monitorean (operaciones de escritura) simplemente está ausente.
• Motores de ransomware de IA conductual: produjeron cero alertas; el perfil de lectura-apertura de GhostLock es indistinguible del de un indexador de búsqueda o un agente de preescaneo de respaldo.
• Agentes EDR comerciales: produjeron cero alertas; el perfil de llamada al sistema refleja la apertura de documentos de Microsoft Word.
• NDR/inspección profunda de paquetes: produjeron cero alertas; el tráfico SMB2 mostró solo solicitudes CREATE y CLOSE, idénticas al acceso normal de documentos.
• Reglas de correlación SIEM: produjeron cero alertas; no existe un conjunto de reglas que monitoree la acumulación de manejadores exclusivos por sesión.

La única señal de detección fiable existe dentro de la propia capa de gestión del NAS: el recuento por sesión de manejadores exclusivos mantenidos simultáneamente.

El documento señala que una aplicación legítima de usuario único rara vez mantiene más de unas pocas docenas de manejadores exclusivos a la vez, mientras que GhostLock acumula decenas de miles, pero esta métrica no es ingerida por ningún SIEM empresarial revisado en la investigación.

Incluso después de la detección, la recuperación no es sencilla. Terminar la sesión SMB infractora requiere experiencia en administración de almacenamiento y, en la mayoría de las grandes empresas, el equipo de operaciones de almacenamiento y el equipo de operaciones de seguridad funcionan de manera independiente sin manuales de procedimientos conjuntos preestablecidos.

El tiempo medio estimado de recuperación en ejercicios de simulación sin un manual preestablecido fue de 4 a 8 horas.

Cabe destacar que, si se revocan las credenciales de Active Directory del atacante, la sesión SMB autenticada existente y todos sus bloqueos pueden persistir durante 15 a 60 minutos adicionales antes del tiempo de espera de la sesión, dependiendo de la configuración de la plataforma.

Dvash hace un llamado a los proveedores de NAS para que expongan los recuentos de manejadores exclusivos por sesión como telemetría de seguridad estándar junto con las salidas de syslog existentes, e insta a los proveedores de SIEM a crear integraciones de plataformas de almacenamiento que ingieran estos datos.

Para una acción defensiva inmediata, el documento recomienda alertar sobre cualquier sesión SMB individual que acumule más de 500 manejadores exclusivos, implementar una regla de NDR para solicitudes CREATE de SMB masivas con cero operaciones WRITE correspondientes en una ventana de 30 minutos, y establecer un manual conjunto de SecOps/StorageOps específicamente para la terminación de sesiones NAS.

La herramienta GhostLock y el código fuente están disponibles en github.com/kimd155/ghostlock y el sitio de investigación complementario en ghostlock.io.