新しいGhostLockツール、Windows APIを悪用してファイルアクセスをブロック

あるセキュリティ研究者が、GhostLockと名付けた概念実証ツールを発表した。このツールは、正規のWindowsファイルAPIを悪用して、ローカルまたはSMBネットワーク共有上に保存されたファイルへのアクセスをブロックする攻撃方法を示すものである。

Israel Aerospace Industries社のKim Dvash氏によって作成されたこのテクニックは、Windowsの「CreateFileW」APIとファイル共有モードを悪用し、ハンドルがアクティブな状態のまま、他のユーザーやアプリケーションがファイルを開くのを阻止する。

GhostLockのテクニックは、CreateFileW()関数の「dwShareMode」パラメータを悪用するもので、ファイルがオープンされている間に他のプロセスが持つアクセスのタイプを指定します。

ファイルを「dwShareMode = 0」で開くと、Windows はそのプロセスにファイルへの排他的なアクセスを許可し、他のユーザーやアプリケーションがそのファイルを開けなくなります。

たとえば、次のコードはfinance.xlsxファイルを排他モードで開き、他のプロセスがアクセスできないようにします。

HANDLE hFile = CreateFileW( L"￤Finance.xlsx", GENERIC_READ, 0, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL )；

これを実行しようとすると、Windowsは代わりに以下の「STATUS_SHARING_VIOLATION」エラーを表示する。

この研究者は、SMB共有上の大量のファイルを再帰的にオープンすることで、この攻撃を自動化するGhostLockツールをGitHubで公開している。これらのファイルハンドルが開いている間、新たにファイルにアクセスしようとすると共有違反で失敗する。

このツールは “標準的な “ドメイン・ユーザーで実行でき、ファイルをロックするために昇格した特権を必要としない。

攻撃者が複数の侵害されたデバイスから同時に攻撃を開始し、以前のプロセスが終了するにつれてファイルハンドルを継続的に再取得する場合、これはさらに悪化する。

しかし、関連するSMBセッションが終了し、GhostLockプロセスが強制終了されるか、感染したシステムが再起動されると、Windowsが自動的にハンドルを閉じ、ファイルへのアクセスが回復する。

Dvash氏は、この手口はランサムウェアのような破壊的な攻撃ではなく、主に混乱させる攻撃と見なすべきだと語った。

「そう、破壊的な影響ではなく、混乱に基づく影響なのだ。ランサムウェアと類似しているのは、データの損失ではなく、運用のダウンタイムです」とDvash氏は語った。

この攻撃は、どちらかというとサービス拒否の手法に近いものですが、侵入時のおとりとして役立つ可能性があります。

攻撃者は、広範なファイルアクセスの中断を利用してITスタッフを圧倒し、その間にデータの窃盗、横移動、あるいは他の環境での悪意ある活動を行うことができる。

研究者によると、多くのセキュリティ製品や振る舞い検知システムは、大量のファイル書き込みや暗号化操作の検知に重点を置いているという。GhostLockは、主に大量の正規のファイルオープン要求を生成するため、検出される可能性は低くなります。

「この攻撃を確実に特定する唯一の観測可能な指標は、ファイルサーバー層におけるShareAccess = 0のセッションごとのオープンファイル数であり、これはWindowsのイベントログでもEDRテレメトリでもネットワークフローデータでもなく、ストレージプラットフォームの管理インターフェイス内に存在する指標です」とDvash氏は説明する。

研究者はGhostLockのホワイトペーパーでSIMEMクエリとNDR検出ルールを共有しており、ITチームや防御担当者は検出のテンプレートとして使用することができます。