Resumo do Incidente
Uma nova técnica de ataque chamada GhostLock foi descoberta, que paralisa o acesso a arquivos em redes Windows sem criptografar dados. Descoberta por Kim Dvash, líder da equipe de segurança ofensiva, a técnica explora o comportamento padrão de compartilhamento de arquivos do Windows para causar falhas de acessibilidade generalizadas. O impacto é idêntico a uma infecção por ransomware, mas sem a necessidade de escrever um único byte criptografado no disco.
Descoberta e Escopo do Ataque
O GhostLock explora a API CreateFileW do Windows, permitindo que qualquer usuário de domínio autenticado com acesso de leitura padrão adquira um handle de negação de compartilhamento exclusivo em um arquivo via SMB. Isso força um erro STATUS_SHARING_VIOLATION (0xC0000043) para todos os outros processos ou clientes de rede que tentam abrir esse arquivo para qualquer finalidade, incluindo leitura, gravação ou exclusão.
A superfície de ataque não é nova, pois o CreateFileW com dwShareMode = 0 é o mesmo modo que o Microsoft Office usa ao abrir um documento para edição. No entanto, o GhostLock escala essa chamada de API para paralisar grandes volumes de arquivos em um curto período, tornando-se uma ameaça significativa para infraestruturas de armazenamento em rede (NAS) corporativas.
Vetor e Exploração
O GhostLock implementa essa chamada de API única através de um wrapper Python ctypes, exigindo nenhum direito administrativo e nenhuma dependência externa. Para escalar em um NAS corporativo, ele emprega um scanner de trabalho paralelo de 32 threads que paraleliza as voltas de QUERY_DIRECTORY do SMB2.
Em testes experimentais contra infraestrutura isolada, a aquisição de handle em 500.000 arquivos foi concluída em apenas 2 minutos e 37 segundos, com uma taxa de sucesso de bloqueio de 99,6%. Durante um período de retenção de 60 segundos, as simulações de vítimas registraram uma taxa de bloqueio de acesso a arquivos de 99,8%.
Evidências e Limites
O que torna o GhostLock particularmente perigoso é sua capacidade de evadir todas as camadas convencionais de defesa contra ransomware. A ferramenta foi avaliada contra sete categorias de controle de segurança empresarial:
- Arquivos honeypot/canário: Produziram zero alertas, pois os canários são acionados por eventos de gravação, e o GhostLock não realiza gravações.
- Detectores de anomalia de taxa de gravação: Produziram zero alertas, pois a métrica que monitoram (operações de gravação) simplesmente não está presente.
- Motores de ransomware com IA comportamental: Produziram zero alertas, pois o perfil de leitura-abertura do GhostLock é indistinguível de um indexador de pesquisa ou agente de pré-escaneio de backup.
- Agentes EDR comerciais: Produziram zero alertas, pois o perfil de chamada de sistema espelha o Microsoft Word abrindo documentos.
- NDR/inspeção profunda de pacotes: Produziram zero alertas, pois o tráfego SMB2 mostrou apenas solicitações
CREATEeCLOSE, idênticas ao acesso normal de documentos. - Regras de correlação SIEM: Produziram zero alertas, pois nenhum conjunto de regras existente monitora o acúmulo de handles exclusivos por sessão.
Impacto e Alcance
O impacto do GhostLock é uma falha de disponibilidade que paralisa operações críticas. Arquivos críticos tornam-se inacessíveis, aplicativos de planejamento de recursos empresariais (ERP) falham e pipelines de fluxo de trabalho compartilhados são interrompidos. A recuperação não é simples, pois encerrar a sessão SMB ofensiva requer expertise de administração de armazenamento.
Em exercícios de mesa sem um runbook pré-construído, o tempo médio de recuperação foi estimado em 4 a 8 horas. Além disso, se as credenciais do Active Directory do atacante forem revogadas, a sessão SMB autenticada existente e todos os seus bloqueios podem persistir por mais 15 a 60 minutos antes do tempo limite da sessão.
Medidas de Mitigação Recomendadas
Para mitigar a ameaça do GhostLock, as organizações devem considerar as seguintes ações:
- Alertas de Handle Exclusivo: Alertar sobre qualquer sessão SMB única acumulando mais de 500 handles exclusivos.
- Regras NDR: Implementar uma regra NDR para solicitações
CREATESMB em massa com zero operaçõesWRITEcorrespondentes em uma janela de 30 minutos. - Runbooks Conjuntos: Estabelecer um runbook conjunto SecOps/StorageOps especificamente para o término de sessões NAS.
- Integração de Telemetria: Expor contagens de handles exclusivos por sessão como telemetria de segurança padrão nos dispositivos NAS.
Implicações Regulatórias
O GhostLock destaca a necessidade de monitoramento de segurança além das camadas tradicionais de antivírus e EDR. As organizações devem considerar a telemetria de armazenamento como parte de sua estratégia de detecção de ameaças, especialmente para infraestruturas críticas que dependem de acesso a arquivos.
Perguntas Frequentes
O GhostLock criptografa dados?
Não, o GhostLock não criptografa dados. Ele apenas bloqueia o acesso aos arquivos.
Como detectar o ataque?
A detecção deve ser feita monitorando o número de handles exclusivos por sessão SMB no nível do NAS.
Qual é o tempo de recuperação?
O tempo médio de recuperação sem um runbook pré-construído é de 4 a 8 horas.
O que os CISOs devem fazer imediatamente
Os CISOs devem revisar imediatamente os controles de segurança de suas redes de armazenamento, focando na telemetria de handles SMB. É essencial garantir que as equipes de segurança e armazenamento estejam alinhadas para responder a incidentes de disponibilidade que não envolvem criptografia.