Implantando Arquivos Decoy para Detecção de Ransomware

Quando Usar

• Configurando detecção de alerta precoce para ransomware em servidores de arquivos ou endpoints
• Complementando EDR/AV com uma camada de detecção baseada em engano que captura variantes de ransomware desconhecidas
• Criando alertas de ransomware de alta fidelidade com taxas de falsos positivos muito baixas (usuários legítimos não têm motivo para tocar em arquivos decoy)
• Testando procedimentos de resposta a ransomware validando que modificações em arquivos "canário" disparam o pipeline de alerta esperado
• Protegendo compartilhamentos de arquivos de alto valor (finanças, RH, jurídico) com arquivos "tripwire" que indicam atividade de criptografia não autorizada

Não use arquivos decoy como a única defesa contra ransomware. Eles são um mecanismo de detecção, não um mecanismo de prevenção, e devem complementar backups, EDR e controles de acesso.

Pré-requisitos

• Python 3.8+ com a biblioteca watchdog para monitoramento de sistema de arquivos multiplataforma
• Acesso administrativo a compartilhamentos de arquivos ou endpoints de destino para colocação de canários
• Ferramenta de monitoramento de integridade de arquivos (FIM) ou integração com SIEM para roteamento de alertas
• Compreensão da estrutura de diretórios de destino para colocar canários em locais de alto valor
• Windows: Acesso ao diário de alterações NTFS ou à API ReadDirectoryChangesW
• Linux: Suporte a inotify no kernel (padrão em kernels modernos)

Fluxo de Trabalho

Etapa 1: Projetar a Estratégia de Arquivos Canário

Planeje a colocação de arquivos para cobertura máxima de detecção:

Canary File Placement Strategy:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Naming Convention:
  - Use names that sort FIRST and LAST alphabetically in each directory
  - Ransomware typically enumerates directories A-Z or Z-A
  - Examples: _AAAA_budget_2024.docx, ~zzzz_report_final.xlsx

Placement Locations:
  - Root of every file share (\\server\share\_AAAA_canary.docx)
  - Desktop, Documents, Downloads on each endpoint
  - Department-specific shares (Finance, HR, Legal)
  - Backup staging directories
  - Home directories of high-privilege accounts

File Types:
  - .docx, .xlsx, .pdf (most targeted by ransomware)
  - .sql, .bak (database files, high value)
  - Mix of file types to detect ransomware that targets specific extensions

Etapa 2: Gerar Arquivos Canário Realistas

Crie arquivos decoy com conteúdo e metadados realistas:

import os
import time

def create_canary_docx(filepath, content="Q4 Financial Summary - Confidential"):
    """Create a realistic .docx canary file using python-docx."""
    from docx import Document
    doc = Document()
    doc.add_heading("Financial Report - CONFIDENTIAL", level=1)
    doc.add_paragraph(content)
    doc.add_paragraph(f"Generated: {time.strftime('%Y-%m-%d')}")
    doc.save(filepath)

def create_canary_txt(filepath):
    """Create a simple text canary with known content for hash verification."""
    content = "CANARY_TOKEN_DO_NOT_MODIFY\n"
    content += f"Created: {time.strftime('%Y-%m-%dT%H:%M:%S')}\n"
    content += "This file is monitored for unauthorized changes.\n"
    with open(filepath, "w") as f:
        f.write(content)

Etapa 3: Implantar o Monitor de Sistema de Arquivos

Monitore arquivos canário para qualquer modificação, renomeação ou exclusão:

from watchdog.observers import Observer
from watchdog.events import FileSystemEventHandler

class CanaryHandler(FileSystemEventHandler):
    def __init__(self, canary_paths, alert_callback):
        self.canary_paths = set(canary_paths)
        self.alert_callback = alert_callback

    def on_modified(self, event):
        if event.src_path in self.canary_paths:
            self.alert_callback("MODIFIED", event.src_path)

    def on_deleted(self, event):
        if event.src_path in self.canary_paths:
            self.alert_callback("DELETED", event.src_path)

    def on_moved(self, event):
        if event.src_path in self.canary_paths:
            self.alert_callback("RENAMED", event.src_path)

Etapa 4: Configurar Alerta e Resposta

Defina respostas automatizadas quando os arquivos canário forem acionados:

Matriz de Resposta a Alertas:
━━━━━━━━━━━━━━━━━━━━━
Evento: Canário MODIFICADO
  → Severidade: CRÍTICO
  → Ação: Alerta SOC, identificar processo modificador (PID), isolar endpoint

Evento: Canário EXCLUÍDO
  → Severidade: ALTO
  → Ação: Alerta SOC, verificar nota de ransomware no mesmo diretório

Evento: Canário RENOMEADO (nova extensão adicionada)
  → Severidade: CRÍTICO
  → Ação: Alerta SOC, verificar extensão contra extensões de ransomware conhecidas
  → Automatizado: Encerrar processo modificador, desabilitar interface de rede

Evento: Múltiplos canários acionados em 60 segundos

…