Implementando Detecção de Kill Switch de Ransomware

Quando Usar

• Analisando uma amostra de ransomware para determinar se ela contém um mecanismo de kill switch (mutex, domínio, registro).
• Implantando vacinação proativa de mutex em endpoints para impedir a execução de famílias de ransomware conhecidas.
• Monitorando DNS para consultas de domínio de kill switch que indicam que o ransomware está tentando verificar antes de criptografar.
• Durante a resposta a incidentes para determinar rapidamente se uma variante de ransomware pode ser interrompida ativando seu kill switch.
• Construindo assinaturas de detecção para eventos de criação de mutex de ransomware usando telemetria Sysmon ou EDR.

Não use a vacinação de kill switch como defesa primária. Nem todas as famílias de ransomware implementam kill switches, e aquelas que o fazem podem removê-los em versões mais recentes. Esta é uma camada suplementar de detecção e prevenção.

Pré-requisitos

• Python 3.8+ com ctypes (Windows) para criação e enumeração de mutex.
• Sysmon instalado com Event ID 1 (criação de processo) e Event ID 17/18 (eventos de pipe/mutex) configurados.
• Acesso a sandbox de análise de malware para identificar mecanismos de kill switch em amostras.
• Capacidade de monitoramento de DNS para detectar tentativas de resolução de domínio de kill switch.
• Familiaridade com internals do Windows: mutexes (mutants), objetos do kernel, named pipes.
• Banco de dados de referência de mutexes de ransomware conhecidos (github.com/albertzsigovits/malware-mutex).

Fluxo de Trabalho

Passo 1: Identificar Mecanismos de Kill Switch em Ransomware

Analise amostras em busca de padrões comuns de kill switch:

Kill Switch Types Found in Ransomware:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
1. MUTEX-BASED (most common):
   - Ransomware creates a named mutex at startup
   - If mutex already exists → another instance is running → exit
   - Defense: Pre-create the mutex to prevent execution
   - Examples:
     WannaCry:     Global\MsWinZonesCacheCounterMutexA
     Conti:        kasKDJSAFJauisiudUASIIQWUA82
     REvil:        Global\{GUID-based-on-machine}
     Ryuk:         Global\YOURPRODUCT_MUTEX

2. DOMAIN-BASED:
   - Ransomware resolves a hardcoded domain before executing
   - If domain resolves → security sandbox detected → exit
   - Defense: Register/sinkhole the domain to activate kill switch
   - Examples:
     WannaCry v1:  iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com
     WannaCry v1:  fferfsodp9ifjaposdfjhgosurijfaewrwergwea.com

3. REGISTRY-BASED:
   - Check for specific registry key/value before executing
   - If key exists → exit (anti-analysis or kill switch)
   - Defense: Create the registry key proactively

4. FILE-BASED:
   - Check for existence of specific file or directory
   - If marker file exists → exit
   - Defense: Create the marker file on all endpoints

5. LANGUAGE-BASED:
   - Check system language/keyboard layout
   - Exit if Russian/CIS country keyboard detected
   - Common in Eastern European ransomware groups

Passo 2: Implantar Vacinação de Mutex

Pré-crie mutexes de ransomware conhecidos em endpoints para impedir a execução:

# Windows mutex vaccination using ctypes
import ctypes
from ctypes import wintypes

kernel32 = ctypes.WinDLL('kernel32', use_last_error=True)

def create_mutex(name):
    """Create a named mutex to vaccinate against ransomware."""
    handle = kernel32.CreateMutexW(None, False, name)
    error = ctypes.get_last_error()
    if handle == 0:
        return False, f"Failed to create mutex: error {error}"
    if error == 183:  # ERROR_ALREADY_EXISTS
        return True, f"Mutex already exists (already vaccinated): {name}"
    return True, f"Mutex created successfully: {name}"

KNOWN_RANSOMWARE_MUTEXES = [
    "Global\\MsWinZonesCacheCounterMutexA",        # WannaCry
    "Global\\kasKDJSAFJauisiudUASIIQWUA82",        # Conti
    "Global\\YOURPRODUCT_MUTEX",                     # Ryuk variant
    "Global\\JhbGjhBsSQjz",                         # Maze
    "Global\\sdjfhksjdhfsd",                         # Generic ransomware
]

Passo 3: Monitorar Eventos de Criação de Mutex

Use o Sysmon para detectar quando o ransomware cria seus mutexes característicos:

<!-- Sysmon configuration for mutex monitoring -->
<Sysmon schemaversion="4.90">
  <EventFiltering>
    <!-- Event ID 1: Process creation with mutex indicators -->
    <ProcessCreate onmatch="include">
      <CommandLine condition="contains">mutex</CommandLine>
      <CommandLine condition="contains">CreateMutex</CommandLine>
    </ProcessCreate>
  </EventFiltering>
</Sysmon>

Detecção via Logs de Eventos:
━━━━━━━━━━━━━━━━━━━━━━━━

…