در دنیای عملیات مرکز عملیات امنیت (SOC)، تشخیص تفاوت بین فعالیت‌های مدیریتی مشروع و رفتارهای مخرب در زمانی که محدودیت زمانی شدید وجود دارد، یکی از بزرگترین چالش‌هاست. تکنیک T1490 در چارچوب MITRE ATT&CK به بررسی روش‌هایی می‌پردازد که مهاجمان برای مختل کردن قابلیت بازیابی سیستم (Inhibit System Recovery) از آن‌ها استفاده می‌کنند.
نقش حیاتی حذف نسخه‌های پشتیبان در حملات باج‌افزاری
حذف قابلیت بازیابی سیستم، هدف نهایی یک حمله باج‌افزاری نیست، بلکه در واقع مرحله آماده‌سازی (Setup) است. هرچند رمزنگاری داده‌هاست که آسیب اصلی را به قربانی می‌زند، اما اگر نسخه‌های پشتیبان (Backups) در دسترس باشند، این آسیب قابل جبران است. آنچه یک حمله باج‌افزار (Ransomware) را موفق می‌کند و قربانی را مجبور به پرداخت وجه می‌کند، حذف مسیرهای بازیابی است.
به همین دلیل است که این تکنیک به عنوان یک پیش‌نیاز تقریباً جهانی در تمامی خانواده‌های باج‌افزاری، از WannaCry و Olympic Destroyer گرفته تا گروه‌های فعال فعلی، دیده می‌شود. مهاجمان به ندرت این مرحله را نادیده می‌گیرند، زیرا مسیر را برای مراحل بعدی هموار می‌کند.
ابزارهای بومی ویندوز: سلاح‌هایی در دستان مهاجم
یکی از نکات کلیدی در این تکنیک، استفاده از ابزارهای بومی (Native Tools) ویندوز است که باعث می‌شود شناسایی آن‌ها دشوارتر شود. ابزارهای زیر برای حذف نسخه‌های پشتیبان به کار می‌روند:
- vssadmin.exe: می‌تواند مستقیماً تمامی Shadow Copyهای سیستم را پاک کند.
- wmic shadowcopy delete: از طریق زیرساخت Windows Management Instrumentation (WMI) همین عملیات را انجام می‌دهد.
- wbadmin.exe: برای حذف کامل کاتالوگ پشتیبان ویندوز (Windows Backup Catalog) استفاده می‌شود.
- bcdedit.exe: با تغییر داده‌های پیکربندی بوت، قابلیت بازیابی خودکار ویندوز را غیرفعال می‌کند تا حتی در صورت بروز خطا، سیستم تلاش برای بازیابی نکند.
نکته مهم این است که هیچ‌کدام از این ابزارها به خودی خود بدافزار نیستند و همگی توسط مایکروسافت امضا شده و به صورت استاندارد در سیستم نصب شده‌اند.
تشخیص: تفکیک فعالیت مشروع از مخرب
مدیریت Shadow Copy و نسخه‌های پشتیبان بخشی از کارهای روتین IT است. برای تشخیص حمله، باید به دنبال الگوهای غیرعادی در خط فرمان (Command Line) و زنجیره اجرای فرآیندها بود:
ترکیب سوئیچ‌های /all /quiet در دستورات حذف، نشان‌دهنده قصدی است که به ندرت در عملیات‌های پاک‌سازی روتین ذخیره‌سازی دیده می‌شود. مدیریت مشروع معمولاً هدفمند و قابل مشاهده است، در حالی که فعالیت مخرب به گونه‌ای طراحی شده تا تمام گزینه‌های بازیابی را به صورت کامل و بی‌صدا (Silent) حذف کند.
استراتژی‌های شناسایی برای تحلیلگران SOC
برای شناسایی دقیق این تکنیک، تحلیلگران باید از متدهای زیر استفاده کنند:
- ردیابی معکوس (Backward Tracing): بررسی اینکه چه فرآیندی دستور حذف را اجرا کرده است. اگر دستور توسط یک حساب کاربری معتبر سرویس بک‌آپ با الگوی تکرارپذیر اجرا شده باشد، احتمالاً مشروع است؛ اما اگر زنجیره اجرا به دسترسی‌های مشکوک به LSASS یا فرآیندهای ایجاد شده توسط WMI بدون توجیه تجاری برسد، با یک حمله روبرو هستیم.
- بررسی محدوده و ترکیب دستورات: حذف کامل و بدون محدودیتی که با تغییرات bcdedit یا حذف کاتالوگ wbadmin در یک بازه زمانی کوتاه همراه باشد، تقریباً هرگز توجیه مشروعی ندارد.
- تحلیل شکاف‌های زمانی: اگر هیچ زنجیره پیش‌نیازی در تایم‌لاین مشاهده نشد، خود این شکاف را به عنوان یک نشانه خطر (Red Flag) در نظر بگیرید؛ زیرا احتمالاً زنجیره حمله پیش از بازه زمانی مورد بررسی شما آغاز شده است.
در نهایت، ایمن‌ترین راه برای مقابله با این تکنیک، طراحی زیرساخت‌های بازیابی به گونه‌ای است که از مسیرهای احتمالی سازش (Compromised Path) در شبکه غیرقابل دسترس باشند (مانند بک‌آپ‌های Off-site یا Air-gapped).
