Detecting Ransomware Precursors In Network

检测网络中的勒索软件前驱活动

适用场景

• 为勒索软件部署前的网络活动构建检测规则（从 Cobalt Strike 部署到加密开始平均只需 17 分钟）
• 监控初始访问经纪人（IAB）指标，这些指标往往先于勒索软件部署出现
• 创建 SIEM 关联规则，将多个前驱事件链接为高置信度告警
• 调优网络检测系统，区分勒索软件暂存行为与正常管理操作
• 调查可能表明勒索软件操作者已建立立足点的可疑网络流量模式

不适用场景：不适用于加密后的响应处置（参见 recovering-from-ransomware-attack）。本技能专注于加密前的检测窗口期，此时遏制措施可以防止数据损失。

前置条件

• 网络检测平台（Zeek/Bro、Suricata 或 Arkime/Moloch）部署在网络 TAP 或 SPAN 端口
• SIEM 平台（Splunk、Elastic Security、Microsoft Sentinel 或 QRadar）接入网络日志
• 覆盖勒索软件 IOC 的威胁情报订阅（CISA、abuse.ch、OTX、MISP）
• 来自核心路由器和防火墙的网络流量数据（NetFlow/IPFIX）
• 来自内部解析器的 DNS 查询日志
• 用于事件调查的全量抓包能力

工作流程

步骤 1：识别网络流量中的勒索软件杀伤链阶段

将可网络观测的指标映射到各个加密前阶段：

步骤 2：部署网络检测规则

Suricata 常见勒索软件前驱规则：

# 检测 Cobalt Strike 默认 HTTPS 信标配置文件
alert tls $HOME_NET any -> $EXTERNAL_NET any (msg:"RANSOMWARE PRECURSOR - Cobalt Strike Default TLS Certificate"; tls.cert_subject; content:"Major Cobalt Strike"; sid:3000001; rev:1;)

# Cobalt Strike DNS 信标
alert dns $HOME_NET any -> any 53 (msg:"RANSOMWARE PRECURSOR - Cobalt Strike DNS Beacon Pattern"; dns.query; pcre:"/^[a-z0-9]{3}\.[a-z]{4,8}\./"; threshold:type both, track by_src, count 50, seconds 60; sid:3000002; rev:1;)

# Mimikatz 网络特征（DCSync - DRS GetNCChanges）
alert tcp $HOME_NET any -> $HOME_NET 135 (msg:"RANSOMWARE PRECURSOR - Possible DCSync/Mimikatz"; content:"|05 00 0b|"; offset:0; depth:3; content:"|e3 51 4d 2b 4b 47 15 d2|"; sid:3000003; rev:1;)

# 内部网络扫描（大量连接，少量字节）
alert tcp $HOME_NET any -> $HOME_NET any (msg:"RANSOMWARE PRECURSOR - Internal Port Scan"; flags:S; threshold:type both, track by_src, count 100, seconds 10; sid:3000004; rev:1;)

# SMB 上 PsExec 服务安装
alert tcp $HOME_NET any -> $HOME_NET 445 (msg:"RANSOMWARE PRECURSOR - PsExec Service Install"; content:"|ff|SMB"; content:"PSEXESVC"; nocase; sid:3000005; rev:1;)

# 内部主机 RDP 暴力破解（横向移动）
alert tcp $HOME_NET any -> $HOME_NET 3389 (msg:"RANSOMWARE PRECURSOR - Internal RDP Brute Force"; flow:to_server,established; threshold:type both, track by_src, count 20, seconds 60; sid:3000006; rev:1;)

# 大型 SMB 文件传输（数据暂存）
alert tcp $HOME_NET any -> $HOME_NET 445 (msg:"RANSOMWARE PRECURSOR - Large SMB Transfer Possible Staging"; flow:to_server,established; dsize:>60000; threshold:type both, track by_src, count 100, seconds 300; sid:3000007; rev:1;)

Zeek 行为检测脚本：

# detect_ransomware_precursors.zeek
# 检测大量 SMB 连接失败（凭据测试）

@load base/protocols/smb

module RansomwarePrecursor;

export {
    redef enum Notice::Type += {
        SMB_Brute_Force,
        Suspicious_Internal_Scan,
        Excessive_DNS_Queries,
        SMB_Admin_Share_Access,
    };

    const smb_fail_threshold = 10 &redef;
    const scan_threshold = 50 &redef;
    const dns_query_threshold = 200 &redef;
}

global smb_fail_count: table[addr] of count &default=0 &create_expire=5min;
global conn_count: table[addr] of set[addr] &create_expire=1min;

event smb2_message(c: connection, hdr: SMB2::Header, is_orig: bool) {
    if (hdr$status != 0) {
        ++smb_fail_count[c$id$orig_h];
        if (smb_fail_count[c$id$orig_h] >= smb_fail_threshold) {
            NOTICE([$note=SMB_Brute_Force,
                    $msg=fmt("Host %s has %d failed SMB attempts", c$id$orig_h, smb_fail_count[c$id$orig_h]),
                    $src=c$id$orig_h,
                    $identifier=cat(c$id$orig_h)]);
        }
    }
}

event new_connection(c: connection) {
    if (c$id$orig_h in Site::local_nets && c$id$resp_h in Site::local_nets) {
        if (c$id$orig_h !in conn_count)
            conn_count[c$id$orig_h] = set();
        add conn_count[c$id$orig_h][c$id$resp_h];
        if (|conn_count[c$id$orig_h]| >= scan_threshold) {
            NOTICE([$note=Suspicious_Internal_Scan,
                    $msg=fmt("Host %s connected to %d internal hosts in 1 min", c$id$orig_h, |conn_count[c$id$orig_h]|),
                    $src=c$id$orig_h,
                    $identifier=cat(c$id$orig_h)]);
        }
    }
}

步骤 3：创建 SIEM 关联规则

Splunk 勒索软件前驱链关联：

| tstats count FROM datamodel=Network_Traffic
  WHERE earliest=-24h All_Traffic.dest_port IN (445, 135, 139, 3389, 5985, 5986)
    AND All_Traffic.src_ip IN 10.0.0.0/8
    AND All_Traffic.dest_ip IN 10.0.0.0/8
  BY All_Traffic.src_ip, All_Traffic.dest_port, _time span=1h
| stats dc(All_Traffic.dest_port) as port_count,
        values(All_Traffic.dest_port) as ports,
        count as total_conns
  BY All_Traffic.src_ip
| where port_count >= 3 AND total_conns > 50
| rename All_Traffic.src_ip as src_ip
| lookup threat_intel_ioc ip as src_ip OUTPUT threat_type
| eval risk_score = case(
    port_count >= 5 AND total_conns > 200, "CRITICAL",
    port_count >= 3 AND total_conns > 50, "HIGH",
    1=1, "MEDIUM")
| table src_ip, ports, port_count, total_conns, risk_score, threat_type

Microsoft Sentinel KQL - 勒索软件前驱关联：

let timeframe = 24h;
let RDPBruteForce = SecurityEvent
| where TimeGenerated > ago(timeframe)
| where EventID == 4625
| where LogonType == 10
| summarize FailedRDP = count() by TargetAccount, IpAddress, bin(TimeGenerated, 1h)
| where FailedRDP > 10;
let SuspiciousSMB = SecurityEvent
| where TimeGenerated > ago(timeframe)
| where EventID == 5145
| where ShareName has "ADMIN$" or ShareName has "C$" or ShareName has "IPC$"
| summarize AdminShareAccess = count() by SubjectUserName, IpAddress, bin(TimeGenerated, 1h)
| where AdminShareAccess > 5;
let ServiceInstalls = SecurityEvent
| where TimeGenerated > ago(timeframe)
| where EventID == 7045
| where ServiceName has_any ("PSEXESVC", "meterpreter", "beacon");
RDPBruteForce
| join kind=inner SuspiciousSMB on IpAddress
| project TimeGenerated, IpAddress, TargetAccount, FailedRDP, SubjectUserName, AdminShareAccess
| extend AlertTitle = "Ransomware Precursor: RDP Brute Force + Admin Share Access"

步骤 4：集成威胁情报

配置已知勒索软件基础设施的自动 IOC 订阅：

# 下载并更新勒索软件 C2 封锁列表
# abuse.ch Feodo Tracker（Cobalt Strike、TrickBot、BazarLoader C2）
curl -s https://feodotracker.abuse.ch/downloads/ipblocklist.csv | \
  grep -v "^#" | cut -d, -f2 > /opt/threat-intel/feodo_ips.txt

# abuse.ch URLhaus（恶意软件分发 URL）
curl -s https://urlhaus.abuse.ch/downloads/csv_recent/ | \
  grep -v "^#" | cut -d, -f3 > /opt/threat-intel/urlhaus_urls.txt

# abuse.ch ThreatFox（勒索软件 IOC）
curl -s https://threatfox.abuse.ch/export/csv/recent/ | \
  grep -i "ransomware" | cut -d, -f3 > /opt/threat-intel/ransomware_iocs.txt

# CISA 已知被利用漏洞（初始访问向量）
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json | \
  python3 -c "import json,sys; data=json.load(sys.stdin); [print(v['cveID'],v['vendorProject'],v['product']) for v in data['vulnerabilities'] if 'ransomware' in v.get('knownRansomwareCampaignUse','').lower()]"

步骤 5：建立告警分类和上报流程

根据前驱置信度定义分类流程：

核心概念

工具与系统

• Zeek（原 Bro）：网络分析框架，为 SMB、Kerberos、DNS、HTTP 和 TLS 连接生成结构化日志
• Suricata：高性能 IDS/IPS，支持协议分析和多线程，用于勒索软件特征检测
• Arkime（原 Moloch）：全量抓包与检索平台，用于网络事件的深度取证调查
• RITA（Real Intelligence Threat Analytics）：开源工具，检测 Zeek 日志中的信标行为、DNS 隧道和长连接
• AC-Hunter：Active Countermeasures 的网络威胁狩猎平台，用于信标检测和 C2 识别

常见场景

场景：检测制造业网络中的 LockBit 前驱活动

背景：一家制造企业的 SOC 收到来自工程部门工作站（10.1.5.42）异常 SMB 流量的告警。该工作站在凌晨 2:00 的 5 分钟内连接了 47 台内部主机的 445 端口。

分析步骤：

1. Zeek conn.log 分析显示 10.1.5.42 在 01:55-02:05 间对 47 个唯一内部 IP 的 445、135 和 3389 端口发起连接
2. Zeek ssl.log 发现每 60 秒向 185.x.x.x 发送一次包含固定 48 字节载荷的出站 HTTPS 连接（Cobalt Strike 信标模式）
3. RITA 信标分析确认该外部 IP 的信标评分极高（0.96），抖动间隔 60 秒
4. Zeek kerberos.log 显示 10.1.5.42 对多个 SPN 账户发起 TGS-REQ（Kerberoasting）
5. SMB tree_connect 事件显示在 12 台主机上访问了 ADMIN$ 共享（横向移动暂存）
6. 遏制措施：隔离主机，重置工程用户凭据，部署 C2 IP 封锁规则
7. 在勒索软件部署前完成全面 IR 响应

注意事项：

• 不要在未确认源头是否为授权扫描器的情况下，将内部端口扫描视为漏洞扫描器活动而忽视
• 不要孤立地处理单个低严重度告警（DNS 异常 + SMB 访问 + 登录失败），应关联为高严重度事件链
• 不要为避免误报而将检测阈值设置过高，从而遗漏低速侦察活动
• 不要忽视加密流量分析（JA3/JA4 指纹），即使在 TLS 隧道中也能识别 Cobalt Strike

输出格式

## 勒索软件前驱检测告警

**告警 ID**：[SIEM 生成的 ID]
**检测时间**：[时间戳]
**源主机**：[IP / 主机名]
**置信度**：[高 / 中 / 低]
**杀伤链阶段**：[初始访问 / C2 / 凭据收集 / 侦察 / 横向移动 / 暂存]

### 已检测指标
| 指标 | 来源 | 详情 | MITRE ATT&CK |
|------|------|------|--------------|
| [类型] | [Zeek/Suricata/SIEM] | [描述] | [T-ID] |

### 关联事件链
1. [时间戳] - [事件 1]
2. [时间戳] - [事件 2]
3. [时间戳] - [事件 3]

### 建议处置措施
- [ ] 将源主机从网络隔离
- [ ] 检查主机上的 EDR 遥测数据
- [ ] 重置受影响用户账户的凭据
- [ ] 封锁已识别的 C2 基础设施
- [ ] 上报至事件响应团队