Implementando Honeypot para Detecção de Ransomware

Quando Usar

• Implementando detecção de alerta precoce para tentativas de criptografia de ransomware usando arquivos "canário"
• Criando compartilhamentos de arquivos honeypot que detectam movimento lateral e preparação de dados antes da criptografia
• Complementando a detecção baseada em EDR e SIEM com alertas de camada de engano que têm quase zero falsos positivos
• Detectando variantes de ransomware que evadem a detecção baseada em assinatura ao serem acionadas por comportamento de modificação de arquivo
• Validando que as capacidades de detecção de ransomware funcionam testando com ferramentas de criptografia controladas

Não use como o único mecanismo de detecção de ransomware. Honeypots são uma camada suplementar de alta confiança, não um substituto para EDR, monitoramento de rede e proteção de backup.

Pré-requisitos

• Infraestrutura de servidor de arquivos ou NAS onde os arquivos "canário" podem ser implantados
• Windows File Server Resource Manager (FSRM) ou monitoramento equivalente de atividade de arquivos
• Thinkst Canary ou plataforma de engano similar (opcional, para implantação avançada)
• Plataforma SIEM para centralizar alertas de honeypot
• Acesso administrativo para implantar arquivos "canário" em compartilhamentos de arquivos
• Segmento de rede para sistemas honeypot (se estiver implantando servidores honeypot completos)

Fluxo de Trabalho

Etapa 1: Implantar Arquivos "Canário" em Compartilhamentos de Arquivos

Coloque arquivos "canário" em locais estratégicos que o ransomware encontrará durante a criptografia:

# Deploy canary files across all file shares
# Files are named to appear early in alphabetical and directory order
# Ransomware typically encrypts alphabetically or by directory traversal

$shares = @("\\fileserver01\finance", "\\fileserver01\hr", "\\fileserver01\engineering")
$canaryNames = @(
    "!_IMPORTANT_DO_NOT_DELETE.docx",
    "000_Budget_2026_FINAL.xlsx",
    "_Confidential_Employee_Records.pdf",
    "AAAA_Quarterly_Report.docx"
)

foreach ($share in $shares) {
    foreach ($name in $canaryNames) {
        $targetPath = Join-Path $share $name
        # Create a legitimate-looking file with canary content
        # The file contains a unique token that triggers on access
        $content = "This document contains confidential financial data.`n"
        $content += "Q4 2025 Revenue: $42.3M | Q1 2026 Forecast: $45.1M`n"
        $content += "Prepared by: Finance Department`n"
        Set-Content -Path $targetPath -Value $content
        # Set file as hidden system to avoid user interaction
        $file = Get-Item $targetPath
        $file.Attributes = [System.IO.FileAttributes]::Hidden
    }
}

# Also deploy in subdirectories (ransomware traverses recursively)
$subDirs = Get-ChildItem -Path "\\fileserver01\finance" -Directory -Recurse | Select-Object -First 20
foreach ($dir in $subDirs) {
    $canaryPath = Join-Path $dir.FullName "!_Budget_Summary.xlsx"
    Set-Content -Path $canaryPath -Value "Canary file for ransomware detection"
    (Get-Item $canaryPath).Attributes = [System.IO.FileAttributes]::Hidden
}

Etapa 2: Configurar Monitoramento de Integridade de Arquivos em Arquivos "Canário"

Abordagem com Windows FSRM:

# Configure FSRM to monitor for ransomware file extensions
# and canary file modifications

Install-WindowsFeature -Name FS-Resource-Manager -IncludeManagementTools

# Create file screen for known ransomware extensions
$ransomExtensions = @(
    "*.encrypted", "*.locked", "*.crypto", "*.crypt",
    "*.locky", "*.cerber", "*.zepto", "*.thor",
    "*.aesir", "*.zzzzz", "*.wallet", "*.onion",
    "*.wncry", "*.wcry", "*.lockbit", "*.BlackCat",
    "*.ALPHV", "*.rhysida", "*.play"
)

# Create file group for ransomware extensions
New-FsrmFileGroup -Name "Ransomware_Extensions" -IncludePattern $ransomExtensions

# Create file screen template
New-FsrmFileScreenTemplate -Name "Ransomware_Screen" `
    -IncludeGroup "Ransomware_Extensions" `
    -Active:$false  # Passive mode: alert without blocking

# Apply to all monitored shares
$monitoredPaths = @("D:\Shares\Finance", "D:\Shares\HR", "D:\Shares\Engineering")
foreach ($path in $monitoredPaths) {
    New-FsrmFileScreen -Path $path -Template "Ransomware_Screen"
}

Monitoramento de modificação de arquivos "canário" com PowerShell FileSystemWatcher:

# Serviço de monitoramento de arquivos "canário" em tempo real
$canaryPaths = @(
    "D:\Shares\Finance\!_IMPORTANT_DO_NOT_DELETE.docx",
    "D:\Shares\HR\000_Budget_2026_FINAL.xlsx",
    "D:\Shares\Engineering\_Confidential_Employee_Records.pdf"
)

$watcher = New-Object System.IO.FileSystemWatcher
$watcher.Path = "D:\Shares"
$watcher.Filter = "*"

…