Il gruppo PAYLOAD ha bloccato una rete aziendale modificando le Group Policy di Active Directory. Nessun file malevolo sui client, rendendo ciechi gli antivirus. Ecco cosa verificare.
Il team di risposta agli incidenti di Kaspersky ha documentato un attacco informatico contro un'azienda manifatturiera che ha sfruttato le Group Policy di Active Directory per bloccare l'intera rete. Il gruppo criminale, noto come PAYLOAD, ha preso il controllo dell'infrastruttura senza installare alcun file malevolo sui computer degli utenti e senza cifrare i dati. Questo metodo rende inefficaci i normali sistemi di sicurezza basati sui singoli dispositivi.
La dinamica dell'intrusione tramite regole di dominio
Secondo i dati riportati da Kaspersky, l'accesso iniziale è avvenuto l'11 aprile tramite la compromissione di credenziali valide per il concentratore VPN aziendale. Gli aggressori hanno successivamente ottenuto i permessi di amministratore di dominio. Il 13 aprile hanno creato due regole malevole collegate alla radice del dominio stesso.
La prima regola ha prelevato immagini e testi dalla cartella condivisa di sistema SYSVOL per modificare lo sfondo del desktop con la richiesta di riscatto, ha configurato un messaggio di accesso e ha disattivato l'account amministratore locale su tutti i computer. La seconda regola ha disattivato il firewall di sistema sull'intera rete.
L'inefficacia dei sistemi di sicurezza tradizionali
L'attacco documentato si basa su un'estorsione senza cifratura locale. Non essendoci file eseguibili sconosciuti memorizzati sui dischi o processi anomali in memoria, gli antivirus e i sistemi di rilevamento avanzati non si attivano. Le modifiche ai computer vengono applicate dal motore legittimo di Windows preposto alla gestione dei criteri di gruppo.
Per un'azienda, questo significa che un singolo account compromesso con privilegi elevati permette di bloccare l'operatività di ogni postazione in pochi minuti sfruttando l'infrastruttura di gestione centrale. Il ripristino dai backup non azzera il danno, poiché i dati vengono copiati all'esterno prima del blocco per minacciarne la pubblicazione.
Le configurazioni da verificare sui server
Per prevenire questo scenario, è necessario intervenire sulla configurazione dell'infrastruttura centrale:
- Revisionare i permessi sulle Group Policy, limitando gli utenti nel gruppo "Group Policy Creator Owners" e revocando i diritti di scrittura a chi non ne ha stretta necessità.
- Abilitare il tracciamento delle modifiche in Active Directory per monitorare nei registri del server la creazione o modifica di oggetti GPO (eventi 5136, 5137, 5141) e i permessi della cartella SYSVOL.
- Imporre l'autenticazione a due fattori su tutti gli accessi remoti, incluse le reti private virtuali.
- Separare gli account di amministrazione da quelli usati per le attività quotidiane. Un amministratore di dominio non deve mai accedere alle postazioni degli utenti generici.
- Controllare regolarmente la console di gestione per individuare regole anomale collegate alla radice del dominio.
Verificate oggi stesso con il vostro reparto tecnico i permessi assegnati alle policy centralizzate della vostra azienda.
