До 70% современных атак шифровальщиков используют легитимные инструменты администрирования Windows для подготовки среды, что делает традиционный сигнатурный анализ бесполезным. Эффективность защиты сегодня определяется не базой вирусных баз, а способностью антивирусного решения фильтровать обфусцированные PowerShell-скрипты и WMI-запросы в реальном времени.
Вектор атаки через PowerShell и AMSI
Злоумышленники редко запускают исполняемые файлы (.exe) на начальном этапе. Вместо этого используются команды PowerShell для отключения теневых копий (vssadmin.exe delete shadows /all) и модификации реестра. Современные решения должны глубоко интегрироваться с Antimalware Scan Interface (AMSI), который позволяет анализировать скрипты даже после их расшифровки в оперативной памяти. Без полноценного AMSI-инспектора вероятность пропуска обфусцированного скрипта возрастает с 15% до 60%.
Кейс: При атаке типа Living-off-the-Land (LotL) стандартный AV видит запуск легитимного процесса powershell.exe и игнорирует его. Продвинутый EDR-модуль фиксирует попытку вызова API-функций Win32 через рефлексию и блокирует процесс за 200-500 мс до начала шифрования. Вывод: Ищите в спецификациях поддержку AMSI и поведенческий анализ скриптов, а не просто «защиту от вирусов».
WMI как инструмент скрытного закрепления
Windows Management Instrumentation (WMI) используется шифровальщиками для сбора данных о системе и запуска вредоносного кода через Event Filters. Это «слепая зона» для 40% бюджетных антивирусных решений, так как запросы WMI проходят через системный процесс WmiPrvSE.exe. Опасность заключается в том, что триггер на запуск шифровальщика может быть установлен на событие «загрузка системы» или «подключение к сети», что делает атаку автономной от внешнего C2-сервера.
Пример: Шифровальщик создает WMI-фильтр, который раз в 24 часа проверяет наличие файла-маркера. Если маркера нет, запускается скрипт очистки логов. Эффективный фильтр WMI-запросов должен детектировать аномальное создание потребителей событий (Event Consumers). Вывод: Мониторинг WMI-репозитория — критическая функция для защиты серверных сегментов, где администраторы редко проверяют целостность WMI-базы.
Эффективность фильтрации и ложноположительные срабатывания
Жесткая блокировка всех PowerShell-скриптов в корпоративной сети приведет к остановке до 30% легитимных процессов автоматизации и обновлений ПО. Практика показывает, что оптимальный уровень фильтрации достигается при использовании «белых списков» хешей доверенных скриптов и анализе аргументов командной строки. Например, флаги -EncodedCommand или -NoProfile в сочетании с { ... } почти всегда сигнализируют об атаке в 95% случаев для обычного рабочего места пользователя.
Сравнение: Базовая фильтрация (по ключевым словам) дает около 40% ложных срабатываний на системных администраторах. Поведенческий анализ (анализ цепочки событий: PowerShell -> vssadmin -> bcdedit) снижает этот показатель до 2-5%, сохраняя высокую точность детектирования. Вывод: Выбирайте решения с контекстным анализом цепочек процессов, а не простым blacklist-фильтром команд.
Интеграция с механизмами предотвращения шифрования
Блокировка командных интерфейсов — это первый эшелон защиты, который должен работать в связке с анализом файловой активности. Если PowerShell-скрипт все же прошел фильтрацию, в дело вступает анализ поведенческих паттернов, отслеживающий массовое переименование файлов или запись специфических заголовков. В среднем, время от запуска вредоносного скрипта до начала массового шифрования составляет от 30 секунд до 5 минут, что дает окно для автоматической блокировки.
Мини-кейс: В сети из 100 рабочих станций внедрение политики ограничения PowerShell (Constrained Language Mode) в сочетании с антивирусным мониторингом снизило риск успешного запуска шифровальщика на 85%, так как большинство эксплойтов требуют полного доступа к API .NET. Вывод: Техническая настройка ОС должна дополнять антивирус, а не заменять его; антивирус же должен уметь распознавать попытки обхода этих настроек.
Вывод
Для защиты от современных шифровальщиков недостаточно иметь «активный монитор». Необходимо ПО, которое глубоко интегрировано с AMSI и способно анализировать WMI-запросы на уровне событий. Избегайте продуктов, которые позиционируют защиту как «блокировку подозрительных файлов» — ищите термин «поведенческий анализ скриптов» и «мониторинг системных инструментов». Начинать стоит с внедрения EDR-функционала (даже в базовом виде) и настройки политики исполнения PowerShell, так как именно здесь купируется до 70% подготовки к атаке.