Seorang peneliti keamanan telah merilis alat pembuktian konsep bernama GhostLock yang menunjukkan bagaimana API file Windows yang sah dapat disalahgunakan dalam serangan untuk memblokir akses ke file yang disimpan secara lokal atau di jaringan SMB yang dibagikan.
Teknik ini, yang diciptakan oleh Kim Dvash dari Israel Aerospace Industries, menyalahgunakan sistem Windows.BuatFileW‘ Mode API dan berbagi file untuk mencegah pengguna dan aplikasi lain membuka file saat pegangan tetap aktif.
Itu Teknik GhostLock menyalahgunakan parameter ‘dwShareMode’ dalam fungsi CreateFileW(), yang menentukan jenis akses yang dimiliki proses lain ke file saat file dibuka.
Ketika file dibuka dengan ‘dwShareMode = 0`, Windows memberikan proses akses eksklusif ke file, mencegah pengguna atau aplikasi lain membukanya.
Misalnya, kode berikut akan membuka file finance.xlsx dalam mode eksklusif, mencegah proses lain mengaksesnya.
HANDLE hFile = CreateFileW( L"\\server\share\finance.xlsx", GENERIC_READ, 0, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL );
Saat mencoba melakukannya, Windows akan menampilkan kesalahan ‘STATUS_SHARING_VIOLATION’ berikut.
Sumber: Kim Dvash
Peneliti telah menerbitkan a Alat GhostLock di GitHub yang mengotomatiskan serangan ini dengan membuka sejumlah besar file secara rekursif di share SMB. Saat pegangan file ini terbuka, upaya baru untuk mengakses file akan gagal karena pelanggaran berbagi.
Alat ini dapat dijalankan oleh pengguna domain “standar”, dan tidak memerlukan hak istimewa apa pun untuk mengunci file.
Hal ini semakin diperparah jika penyerang meluncurkan serangan dari beberapa perangkat yang disusupi secara bersamaan, sambil terus-menerus mendapatkan kembali pegangan file saat proses sebelumnya dihentikan.
Namun, setelah sesi SMB terkait dihentikan, proses GhostLock dimatikan, atau sistem yang terpengaruh di-boot ulang, Windows secara otomatis menutup pegangannya, dan akses ke file dipulihkan.
Dvash mengatakan kepada BleepingComputer bahwa teknik ini harus dilihat terutama sebagai serangan gangguan, bukan serangan destruktif, seperti ransomware.
“Ya, dampaknya berbasis gangguan, bukan destruktif. Hal yang serupa dengan ransomware adalah periode waktu henti operasional, bukan kehilangan data,” kata Dvash kepada BleepingComputer.
Meskipun serangan ini lebih mirip dengan teknik penolakan layanan, serangan ini dapat berguna sebagai umpan selama intrusi.
Penyerang dapat memanfaatkan gangguan akses file yang luas untuk membebani staf TI saat melakukan pencurian data, perpindahan lateral, atau aktivitas jahat lainnya di tempat lain di lingkungan tersebut.
Peneliti mengatakan bahwa banyak produk keamanan dan sistem deteksi perilaku berfokus pada pendeteksian penulisan file massal atau operasi enkripsi. GhostLock terutama menghasilkan permintaan pembukaan file sah dalam jumlah besar, sehingga kecil kemungkinannya untuk terdeteksi.
“Satu-satunya pengamatan yang dapat mengidentifikasi serangan ini secara andal adalah jumlah file terbuka per sesi dengan ShareAccess = 0 pada lapisan server file — metrik yang ada di dalam antarmuka manajemen platform penyimpanan, bukan di log peristiwa Windows, bukan di telemetri EDR, bukan di aliran data jaringan,” jelas Dvash.
Peneliti telah membagikan kueri SIEM dan aturan deteksi NDR di Buku putih GhostLock yang dapat digunakan oleh tim TI dan pembela HAM sebagai templat untuk melakukan deteksi.
99% Mitos yang Ditemukan Masih Belum Ditambal.
AI menyatukan empat zero-day menjadi satu eksploitasi yang melewati penyaji dan sandbox OS. Gelombang eksploitasi baru akan datang.
Pada Autonomous Validation Summit (12 & 14 Mei), lihat bagaimana validasi yang otonom dan kaya konteks menemukan hal-hal yang dapat dieksploitasi, membuktikan bahwa kontrol tetap berlaku, dan menutup siklus remediasi.
