Техника на mitre.org

T1490: Препятствование восстановлению системы

Злоумышленники могут удалить или переместить встроенные данные и отключить службы, отвечающие за восстановление поврежденной системы. Это может лишить пользователей доступа к резервным копиям и средствам восстановления.

Для восстановления поврежденных систем в операционных системах имеются специальные функции, такие как каталог резервных копий, теневые копии томов и функции автоматического восстановления. Злоумышленники могут отключить или удалить функции восстановления системы, чтобы увеличить ущерб от уничтожения данных и шифрования данных. Кроме того, они могут отключить уведомления о необходимости восстановления, а затем повредить резервные копии.

Для отключения или удаления функций восстановления системы злоумышленники использовали ряд стандартных утилит Windows:

vssadmin.exe может удалить все теневые копии томов в системе: vssadmin.exe delete shadows /all /quiet
инструментарий управления Windows может удалить теневые копии томов: wmic shadowcopy delete
wbadmin.exe может удалить каталог резервных копий Windows: wbadmin.exe delete catalog -quiet
bcdedit.exe может отключить функции автоматического восстановления Windows путем изменения данных конфигурации загрузки: bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no
REAgentC.exe может отключить функции восстановления в среде восстановления Windows (WinRE) зараженной машины
diskshadow.exe может удалить все теневые копии томов в системе: diskshadow delete shadows all

На сетевых устройствах злоумышленники могут использовать технику Уничтожение диска для удаления резервных копий образов прошивки и переформатирования файловой системы с последующим завершением работы или перезагрузкой системы. В совокупности эти действия могут привести к полной неработоспособности сетевых устройств и затруднить их восстановление.

Злоумышленники также могут уничтожить подключенные к их сети удаленные резервные копии, сохраненные в сетевых хранилищах или папках, синхронизированных с облачными сервисами. В облачных средах злоумышленники могут отключить политики контроля версий и резервного копирования, а также удалить снапшоты, образы виртуальных машин и предыдущие версии объектов, предназначенные для аварийного восстановления.

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol SIEM

acronis: PT-CR-2239: Acronis_Mass_Drop_Machine_Or_Backup_Plan: Попытка массового удаления резервных копий mitre_attck_impact: PT-CR-497: Shadow_Copies_Deletion_With_Builtin_Tools: Обнаружение попыток удалить теневые копии данных, необходимых для восстановления Windows

Способы обнаружения

ID	DS0009	Источник и компонент данных	Процесс: Создание процесса	Описание	Отслеживайте процессы для мониторинга запуска бинарных файлов и их параметров, которые могут препятствовать восстановлению системы, например `vssadmin`, `wbadmin` и `bcdedit`. После компрометации систем одной сети злоумышленники часто пытаются удалить или изменить размер теневых копий томов, чтобы предотвратить восстановление системы до состояния перед атакой. Для этого часто применяется vssadmin — легитимный инструмент Windows, предназначенный для работы с теневыми копиями. На эту технику часто полагаются программы-вымогатели, и она может помешать восстановлению системы после атаки. Псевдокод, используемый для обнаружения, отслеживает события создания процесса, регистрируемые в журнале безопасности Windows и Sysmon (с идентификаторами 4688 и 1 соответственно). При использовании wmic для удаления теневой копии тома генерируется событие WMI-Activity Operational с идентификатором 5857, а в случае завершения операции сбоем — событие с идентификатором 5858. Эти два идентификатора позволяют обнаружить использование wmic без создания процесса и (или) выполнить более тщательный криминалистический анализ. Аналитика 1. Обнаружение удаления теневой копии тома или изменения ее размера `(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688")(CommandLine="vssadmin delete shadows" OR CommandLine="wmic shadowcopy delete" OR CommandLine="vssadmin resize shadowstorage")) OR (EventCode="5857" ProviderName="MSVSS__PROVIDER") OR (EventCode="5858" Operation="Win32_ShadowCopy")` Аналитика 2. Изменение параметров восстановления после сбоев с помощью BCDEdit `(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688") Image= "C:\Windows\System32\bcdedit.exe" AND CommandLine="recoveryenabled"`

ID	DS0024	Источник и компонент данных	Реестр Windows: Изменение ключа реестра Windows	Описание	Отслеживайте изменения в реестре, связанные с функциями восстановления системы (например, создание ключа `HKEY_CURRENT_USER\Software\Policies\Microsoft\PreviousVersions\DisableLocalPage`).

ID	DS0020	Источник и компонент данных	Снапшот: Удаление снапшота	Описание	Отслеживайте нетипичные случаи удаления снапшотов (например, с помощью команды `delete-snapshot` в AWS), особенно тех, которые связаны с резервными копиями данных в облаке.

ID	DS0010	Источник и компонент данных	Облачное хранилище: Удаление облачного хранилища	Описание	Отслеживайте нетипичные случаи удаления объектов облачного хранилища (например, командой `delete-object` в AWS), особенно тех, в которых хранятся резервные копии.

ID	DS0017	Источник и компонент данных	Команда: Выполнение команд	Описание	Отслеживайте процессы для мониторинга запуска бинарных файлов и их параметров, которые могут препятствовать восстановлению системы, например `vssadmin`, `wbadmin` и `bcdedit`.

ID	DS0019	Источник и компонент данных	Служба: Метаданные службы	Описание	Отслеживайте статус служб, которые задействованы в восстановлении системы. Примечание. В Windows можно использовать событие с идентификатором 7040 для отслеживания изменений типа запуска служб, которые связаны с восстановлением системы (например, отключение выполнения при запуске).

ID	DS0022	Источник и компонент данных	Файл: Удаление файла	Описание	Журналы событий Windows могут содержать записи, связанные с подозрительной деятельностью. Например, событие с идентификатором 524 свидетельствует об удалении системного каталога.

ID	Источник и компонент данных	Описание
DS0009	Процесс: Создание процесса	Отслеживайте процессы для мониторинга запуска бинарных файлов и их параметров, которые могут препятствовать восстановлению системы, например `vssadmin`, `wbadmin` и `bcdedit`. После компрометации систем одной сети злоумышленники часто пытаются удалить или изменить размер теневых копий томов, чтобы предотвратить восстановление системы до состояния перед атакой. Для этого часто применяется vssadmin — легитимный инструмент Windows, предназначенный для работы с теневыми копиями. На эту технику часто полагаются программы-вымогатели, и она может помешать восстановлению системы после атаки. Псевдокод, используемый для обнаружения, отслеживает события создания процесса, регистрируемые в журнале безопасности Windows и Sysmon (с идентификаторами 4688 и 1 соответственно). При использовании wmic для удаления теневой копии тома генерируется событие WMI-Activity Operational с идентификатором 5857, а в случае завершения операции сбоем — событие с идентификатором 5858. Эти два идентификатора позволяют обнаружить использование wmic без создания процесса и (или) выполнить более тщательный криминалистический анализ. Аналитика 1. Обнаружение удаления теневой копии тома или изменения ее размера `(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688")(CommandLine="vssadmin delete shadows" OR CommandLine="wmic shadowcopy delete" OR CommandLine="vssadmin resize shadowstorage")) OR (EventCode="5857" ProviderName="MSVSS__PROVIDER") OR (EventCode="5858" Operation="Win32_ShadowCopy")` Аналитика 2. Изменение параметров восстановления после сбоев с помощью BCDEdit `(source="WinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode="1") OR (source="WinEventLog:Security" EventCode="4688") Image= "C:\Windows\System32\bcdedit.exe" AND CommandLine="recoveryenabled"`
DS0024	Реестр Windows: Изменение ключа реестра Windows	Отслеживайте изменения в реестре, связанные с функциями восстановления системы (например, создание ключа `HKEY_CURRENT_USER\Software\Policies\Microsoft\PreviousVersions\DisableLocalPage`).
DS0020	Снапшот: Удаление снапшота	Отслеживайте нетипичные случаи удаления снапшотов (например, с помощью команды `delete-snapshot` в AWS), особенно тех, которые связаны с резервными копиями данных в облаке.
DS0010	Облачное хранилище: Удаление облачного хранилища	Отслеживайте нетипичные случаи удаления объектов облачного хранилища (например, командой `delete-object` в AWS), особенно тех, в которых хранятся резервные копии.
DS0017	Команда: Выполнение команд	Отслеживайте процессы для мониторинга запуска бинарных файлов и их параметров, которые могут препятствовать восстановлению системы, например `vssadmin`, `wbadmin` и `bcdedit`.
DS0019	Служба: Метаданные службы	Отслеживайте статус служб, которые задействованы в восстановлении системы. Примечание. В Windows можно использовать событие с идентификатором 7040 для отслеживания изменений типа запуска служб, которые связаны с восстановлением системы (например, отключение выполнения при запуске).
DS0022	Файл: Удаление файла	Журналы событий Windows могут содержать записи, связанные с подозрительной деятельностью. Например, событие с идентификатором 524 свидетельствует об удалении системного каталога.

Меры противодействия

ID	M1038	Название	Защита от выполнения	Описание	По возможности используйте контроль приложений, настроенный на блокировку выполнения таких утилит, как `diskshadow.exe`, которые могут быть не нужны для данной системы или сети, чтобы предотвратить потенциальное использование злоумышленниками.

ID	M1028	Название	Изменение конфигурации ОС	Описание	Предусмотрите технические средства контроля для предотвращения отключения служб или удаления файлов, участвующих в восстановлении системы. Кроме того, проследите, чтобы WinRE был включен, используя следующую команду: `reagentc /enable`.

ID	M1018	Название	Управление учетными записями	Описание	Ограничьте доступ к резервным копиям, оставив его только тем пользователям, которым он необходим.

ID	M1053	Название	Создание резервной копии данных	Описание	По возможности внедрите планы аварийного восстановления ИТ, содержащие процедуры регулярного создания резервных копий данных, которые могут быть использованы для восстановления данных организации. Проследите, чтобы резервные копии хранились вне системы и были защищены от распространенных методов, которые злоумышленники могут использовать с целью получения доступа и уничтожения резервных копий для предотвращения восстановления. В облачных средах по возможности включайте версионность объектов хранения и копируйте резервные копии в другие учетные записи или регионы, чтобы изолировать их от оригинальных копий.

ID	Название	Описание
M1038	Защита от выполнения	По возможности используйте контроль приложений, настроенный на блокировку выполнения таких утилит, как `diskshadow.exe`, которые могут быть не нужны для данной системы или сети, чтобы предотвратить потенциальное использование злоумышленниками.
M1028	Изменение конфигурации ОС	Предусмотрите технические средства контроля для предотвращения отключения служб или удаления файлов, участвующих в восстановлении системы. Кроме того, проследите, чтобы WinRE был включен, используя следующую команду: `reagentc /enable`.
M1018	Управление учетными записями	Ограничьте доступ к резервным копиям, оставив его только тем пользователям, которым он необходим.
M1053	Создание резервной копии данных	По возможности внедрите планы аварийного восстановления ИТ, содержащие процедуры регулярного создания резервных копий данных, которые могут быть использованы для восстановления данных организации. Проследите, чтобы резервные копии хранились вне системы и были защищены от распространенных методов, которые злоумышленники могут использовать с целью получения доступа и уничтожения резервных копий для предотвращения восстановления. В облачных средах по возможности включайте версионность объектов хранения и копируйте резервные копии в другие учетные записи или регионы, чтобы изолировать их от оригинальных копий.