Ransomware Hunter
Passez en revue les ordinateurs Windows d’une entreprise à la recherche des signes révélateurs d’un rançongiciel comme Akira, et voyez d’un coup d’œil lesquels demandent un examen plus approfondi.
À quoi sert la page
Ransomware Hunter est une page de la console Lavawall®, dans la zone Threat hunting. Lavawall est la plateforme RMM, de sécurité et de conformité de ThreeShield, conçue et hébergée au Canada. À propos de cette fonctionnalité.
Ransomware Hunter est une analyse qui s’exécute sur chaque ordinateur par l’intermédiaire de l’agent Lavawall et qui recherche les indicateurs de compromission utilisés par les souches de rançongiciels courantes, comme Akira. Elle vérifie la présence de notes de rançon et d’extensions de fichiers de rançongiciels, de programmes et de commandes suspects, de fichiers de configuration d’outils d’exfiltration de données, de nouveaux services, de tâches planifiées, d’entrées de démarrage automatique, de modifications aux comptes administrateurs et aux groupes, de nouveaux comptes d’utilisateur, d’archives de préparation, d’entrées prefetch suspectes et d’outils de soutien à distance.
La page résume les résultats de deux façons. Des cartes regroupent les outils de soutien à distance, les outils d’exfiltration possibles et les processus suspects trouvés, avec les ordinateurs où chacun a été observé. Un tableau énumère ensuite chaque ordinateur analysé avec un résultat global et un Yes/No pour chaque indicateur.
Un badge rouge Yes peut être cliqué pour voir les détails qui s’y rattachent, que vous pouvez copier ou exporter vers Excel pour une enquête.
Ce que vous voyez
- Deploy the Ransomware Hunter : exécute l’analyse sur tous les ordinateurs de l’entreprise sélectionnée. Affiché une fois qu’une entreprise est sélectionnée en haut de la console.
- Remote Support Tools : une carte par outil d’accès à distance ou de RMM trouvé, avec Affected Hosts et des liens vers chaque ordinateur. L’icône d’aide explique l’outil et la façon dont les attaquants en abusent.
- Potential Exfiltration Tools : cartes des outils qui peuvent faire sortir des données du réseau.
- Suspicious Processes : cartes des outils intégrés souvent détournés par les attaquants. Ils peuvent être normaux pour les administrateurs et les développeurs.
- Boutons du tableau : Copier, Imprimer et Export to Excel, plus une zone de recherche.
- Tableau des résultats : Appareil, Indicateurs, Time Ran, Infected, et une colonne pour chaque indicateur, de Suspicious EXE à Users Created.
Comment exécuter Ransomware Hunter
- Sélectionnez l’entreprise en haut de la console.
- Cliquez sur Deploy the Ransomware Hunter.
- Confirmez Are you sure you want to run the script on all computers at this company?
- Attendez que les ordinateurs exécutent l’analyse et transmettent leurs résultats, puis rechargez la page pour les voir.
Comment lire les résultats
- Regardez d’abord la colonne Infected : LIKELY OK (vert), SUSPICIOUS (ambre) ou POSSIBLY (rouge, probablement compromis).
- Indicateurs correspond au score de l’analyse pour cet ordinateur; plus il est élevé, plus il y a de constats.
- Pour chaque badge rouge Yes (n), cliquez dessus pour voir les éléments correspondants, comme des chemins de fichiers, des commandes ou des détails d’événements. Utilisez l’icône de copie dans le titre de la fenêtre contextuelle pour les copier.
- Cliquez sur le nom d’un appareil pour ouvrir sa page d’appareil.
Comment exporter les constats
- Cliquez sur Export to Excel pour télécharger le tableau, y compris les détails derrière chaque indicateur.
- Ou cliquez sur Copier ou Imprimer.
Conseils
- Un outil de soutien à distance que vous n’avez pas installé est l’un des signes d’alerte les plus forts. Comparez chaque carte sous Remote Support Tools avec les outils que vous utilisez réellement.
- Suspicious Processes comprend souvent des activités d’administration légitimes (par exemple PowerShell ou des outils de sauvegarde). Considérez-les comme des pistes, et non comme des preuves.
- Exécutez de nouveau le chasseur après le nettoyage pour confirmer que les indicateurs ont disparu. Time Ran est affiché dans votre propre fuseau horaire.
- Si aucune entreprise n’est sélectionnée, la page affiche les résultats de toutes les entreprises que vous gérez, mais le bouton de déploiement est masqué.
Dépannage
- « Lavawall has not yet run ransomware scans for this company. »
- Aucun résultat n’a encore été transmis. Déployez le chasseur et attendez que les ordinateurs se manifestent.
- « There are no devices available to run the Ransomware Hunter in this company. »
- L’entreprise n’a aucun ordinateur doté d’un agent Lavawall capable de l’exécuter.
- « You are not authorized to run the Ransomware hunter at this company. »
- Votre compte n’est pas autorisé à y exécuter des scripts. Demandez à un administrateur.
- « Select an organization to deploy the Ransomware Hunter or run it as a script. »
- Choisissez d’abord une entreprise en haut de la console.
- « We are having problems deploying the Ransomware Hunter. »
- Communiquez avec le soutien de Lavawall.
Articles connexes
Besoin d’aide?
Consultez le centre de soutien ou communiquez avec notre équipe de soutien en nous indiquant la page où vous étiez :
- Clavarder maintenant : utilisez le bouton de clavardage dans le coin inférieur droit de cette page pour joindre notre équipe tout de suite. Lorsque le consentement aux témoins est requis, le clavardage démarre après votre acceptation (paramètres des témoins).
- Courriel : envoyez un message à notre équipe de soutien par la page Nous joindre. Il est transmis directement à une personne.
- Téléphone : AB : 1-403-538-5053, C.-B. : 1-778-731-1339, ON : 1-289-724-8829, É.-U. : 1-406-988-7333, R.-U. : +44 20 3695 9786.
Les noms, entreprises, appareils et chiffres figurant dans les images sont des exemples. Les autres noms de produits et d’entreprises sont des marques de commerce de leurs propriétaires respectifs.