跳转至

T1490-win-禁止系统恢复

来自ATT&CK的描述

攻击者可能会删除操作系统的内置数据,并关闭帮助已损坏系统恢复的服务。操作系统可能包含可帮助修复损坏系统的功能,例如备份目录,卷影副本和自动修复功能。攻击者可以禁用或删除这些系统恢复功能,以增强销毁数据和加密数据的影响。

攻击者可以使用许多本机Windows实用程序来禁用或删除系统恢复功能:

  • vssadmin.exe 可用于删除系统上的所有卷影副本 - vssadmin.exe delete shadows /all /quiet
  • Windows Management Instrumentation可用于删除卷影副本 - wmic shadowcopy delete
  • wbadmin.exe 可用于删除Windows备份目录 - wbadmin.exe delete catalog -quiet
  • bcdedit.exe 可用于通过修改启动配置数据来禁用Windows自动恢复功能 - bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no

测试案例

wmic shadowcopy delete

检测日志

windows 安全日志

测试复现

C:\Users\Administrator>wmic shadowcopy delete
没有可用实例。

测试留痕

4688 Windows安全日志,进程创建

已创建新进程。

创建者主题:
 安全 ID:  QAX\Administrator
 帐户名:  Administrator
 帐户域:  QAX
 登录 ID:  0x7169C

目标主题:
 安全 ID:  NULL SID
 帐户名:  -
 帐户域:  -
 登录 ID:  0x0

进程信息:
 新进程 ID:  0x1304
 新进程名称: C:\Windows\System32\wbem\WMIC.exe
 令牌提升类型: %%1936
 强制性标签:  Mandatory Label\High Mandatory Level
 创建者进程 ID: 0x15d0
 创建者进程名称: C:\Windows\System32\cmd.exe
 进程命令行: wmic  shadowcopy delete

检测规则/思路

sigma规则

title: windows下删除系统恢复功能
description: Windows下使用wmic shadowcopy delete删除卷影副本
tags: T1490
status: experimental
author: 12306Bro
logsource:
    product: windows
    service: security
detection:
    selection1:
        EventID: 4688 #进程创建
        New Processname: 'bcdedit.exe' #进程信息>新进程名称
        Processcommandline: 
            - '* set * bootstatuspolicy ignoreallfailures'  #进程信息>进程命令行
            - '* set * recoveryenabled no' #进程信息>进程命令行
    selection2:
        EventID: 4688 #进程创建
        New Processname: 'vssadmin.exe'  #进程信息>新进程名称
        Processcommandline|contain: 'delete shadows'  #进程信息>进程命令行
    selection3:
        EventID: 4688 #进程创建
        New Processname: 'wmic.exe'  #进程信息>新进程名称
        Processcommandline: 'shadowcopy delete'  #进程信息>进程命令行 
    condition: 1 of selection*
level: high

建议

使用进程监视来检测涉及禁止系统恢复的二进制文件的执行和命令行参数,例如vssadmin、wbadmin和bcdedit。Windows事件日志,例如:提示系统目录已删除的事件ID524可能包含与可疑活动相关的事件。

参考推荐

MITRE-ATT&CK-T1490

https://attack.mitre.org/techniques/T1490/