Detectando Precursores de Ransomware em Tráfego de Rede

Quando Usar

• Construindo regras de detecção para atividade de rede pré-ransomware (o tempo médio da implantação do Cobalt Strike até a criptografia é de 17 minutos)
• Monitorando indicadores de "initial access broker" (IAB) que precedem a implantação de ransomware
• Criando regras de correlação SIEM que encadeiam múltiplos eventos precursores em alertas de alta confiança
• Ajustando sistemas de detecção de rede para distinguir o "staging" de ransomware de atividade administrativa normal
• Investigando padrões de rede suspeitos que podem indicar que operadores de ransomware estabeleceram um ponto de apoio

Não use para resposta pós-criptografia (veja "recuperando-de-ataque-de-ransomware"). Esta habilidade foca na janela de detecção pré-criptografia onde a contenção pode prevenir a perda de dados.

Pré-requisitos

• Plataforma de detecção de rede (Zeek/Bro, Suricata ou Arkime/Moloch) implantada em portas TAP ou SPAN da rede
• Plataforma SIEM (Splunk, Elastic Security, Microsoft Sentinel ou QRadar) ingerindo logs de rede
• Feeds de inteligência de ameaças cobrindo IOCs de ransomware (CISA, abuse.ch, OTX, MISP)
• Dados de fluxo de rede (NetFlow/IPFIX) de roteadores e firewalls principais
• Registro de consultas DNS de resolvedores internos
• Capacidade de captura completa de pacotes para investigação de incidentes

Fluxo de Trabalho

Etapa 1: Identificar Fases da Cadeia de Ataque de Ransomware em Tráfego de Rede

Mapeie indicadores observáveis na rede para cada fase pré-criptografia:

Etapa 2: Implantar Regras de Detecção de Rede

Regras Suricata para precursores comuns de ransomware:

# Cobalt Strike default HTTPS beacon profile detection
alert tls $HOME_NET any -> $EXTERNAL_NET any (msg:"RANSOMWARE PRECURSOR - Cobalt Strike Default TLS Certificate"; tls.cert_subject; content:"Major Cobalt Strike"; sid:3000001; rev:1;)

# Cobalt Strike DNS beacon
alert dns $HOME_NET any -> any 53 (msg:"RANSOMWARE PRECURSOR - Cobalt Strike DNS Beacon Pattern"; dns.query; pcre:"/^[a-z0-9]{3}\.[a-z]{4,8}\./"; threshold:type both, track by_src, count 50, seconds 60; sid:3000002; rev:1;)

# Mimikatz network signature (DCSync - DRS GetNCChanges)
alert tcp $HOME_NET any -> $HOME_NET 135 (msg:"RANSOMWARE PRECURSOR - Possible DCSync/Mimikatz"; content:"|05 00 0b|"; offset:0; depth:3; content:"|e3 51 4d 2b 4b 47 15 d2|"; sid:3000003; rev:1;)

# Internal network scanning (many connections, few bytes)
alert tcp $HOME_NET any -> $HOME_NET any (msg:"RANSOMWARE PRECURSOR - Internal Port Scan"; flags:S; threshold:type both, track by_src, count 100, seconds 10; sid:3000004; rev:1;)

# PsExec service installation over SMB
alert tcp $HOME_NET any -> $HOME_NET 445 (msg:"RANSOMWARE PRECURSOR - PsExec Service Install"; content:"|ff|SMB"; content:"PSEXESVC"; nocase; sid:3000005; rev:1;)

# RDP brute force from internal host (lateral movement)
alert tcp $HOME_NET any -> $HOME_NET 3389 (msg:"RANSOMWARE PRECURSOR - Internal RDP Brute Force"; flow:to_server,established; threshold:type both, track by_src, count 20, seconds 60; sid:3000006; rev:1;)

# Large SMB file transfer (data staging)
alert tcp $HOME_NET any -> $HOME_NET 445 (msg:"RANSOMWARE PRECURSOR - Large SMB Transfer Possible Staging"; flow:to_server,established; dsize:>60000; threshold:type both, track by_src, count 100, seconds 300; sid:3000007; rev:1;)

Scripts Zeek para detecção comportamental:

# detect_ransomware_precursors.zeek
# Detecta alto volume de conexões SMB falhas (teste de credenciais)

@load base/protocols/smb

module RansomwarePrecursor;

export {
    redef enum Notice::Type += {
        SMB_Brute_Force,
        Suspicious_Internal_Scan,
        Excessive_DNS_Queries,
        SMB_Admin_Share_Access,
    };

    const smb_fail_threshold = 10 &redef;
    const scan_threshold = 50 &redef;

…