Израильский исследователь Ким Дваш представил GhostLock, инструмент, который использует уязвимость в API Windows для блокировки доступа к файлам. Это важно, так как может серьезно нарушить работу пользователей и приложений, способствуя несанкционированным атакам.
Как работает GhostLock
GhostLock манипулирует параметром dwShareMode в функции CreateFileW, чтобы предоставить исключительный доступ к файлам для процесса, тем самым запрещая доступ к ним другим пользователям. По сути, если файл открыт с dwShareMode = 0, все другие попытки открыть этот файл завершаются ошибкой STATUS_SHARING_VIOLATION.
Исследователь опубликовал инструмент на GitHub, который автоматически открывает множество файлов на SMB-ресурсах, блокируя к ним дальнейший доступ. Для атаки не нужны специальные права, и даже обычные пользователи могут запускать этот инструмент, что значительно усугубляет ситуацию.
Потенциальные последствия атаки
По словам Дваша, эта техника направлена не на разрушение, а на создание помех. "Это похоже на атаку отказа в обслуживании, где сбой доступа к файлам отвлекает IT-специалистов во время более серьезной кибератаки", — отметил он в интервью. Многие системы безопасности не распознают GhostLock, так как он генерирует легитимные запросы на открытие файлов.
Дваш подчеркнул, что надежный способ идентификации атаки— это отслеживание количества открытых файлов в сеанса, причем эта информация не хранится в стандартных логах Windows, а скорее доступна через интерфейсы управления хранилищем.
Что это значит для предприятий
Для компаний использование GhostLock — серьезную угрозу. Чаще всего IT-отделы фокусируются на обнаружении поведенческих сходств с программами-вымогателями и атаками на множество файлов. GhostLock же отражает поведение, при котором несколько файлов открываются одновременно, что делает его трудным для обнаружения. Поэтому предприятиям важно усилить мониторинг сеансов и развивать аналитику для предотвращения подобных угроз.
Изучение возможностей GhostLock становится актуальным, так как атаки на основе его методов могут возрасти. Компании должны уделить внимание обновлению своих систем безопасности и регулярной проверке их на уязвимости.