Nowe narzędzie GhostLock blokuje pliki w Windows. Co powinni wiedzieć administratorzy

Bezpieczeństwo infrastruktury Windows opiera się nie tylko na ochronie przed złośliwym kodem, ale także na zrozumieniu, jak legalne mechanizmy systemowe mogą zostać wykorzystane przeciwko organizacji. Najnowszy przykład pochodzi od badacza Kim Dvash z Israel Aerospace Industries, który opublikował narzędzie o nazwie GhostLock. Jego działanie pokazuje, że nawet standardowe funkcje API mogą posłużyć do skutecznego zakłócenia pracy w środowisku firmowym.

Jak działa GhostLock?

GhostLock to dowód koncepcji (proof-of-concept), który nadużywa funkcji CreateFileW w systemie Windows. Kluczowym elementem jest parametr dwShareMode, który określa, jaki dostęp do pliku mają inne procesy, gdy plik jest już otwarty. Gdy program otworzy plik z wartością dwShareMode = 0, Windows przyznaje mu wyłączny dostęp – żaden inny proces ani użytkownik nie może wtedy otworzyć tego pliku.

Narzędzie automatyzuje ten proces: rekurencyjnie otwiera dużą liczbę plików na lokalnych dyskach lub udziałach SMB. Dopóki uchwyty pozostają aktywne, każda próba dostępu kończy się błędem STATUS_SHARING_VIOLATION. Co istotne, atak może być przeprowadzony przez zwykłego użytkownika domeny – nie wymaga podniesionych uprawnień.

Skutki dla organizacji

Dvash w rozmowie z BleepingComputer podkreśla, że technika ta ma charakter zakłócający, a nie destrukcyjny. Jak tłumaczy: „Tak, wpływ opiera się na zakłóceniu, a nie na zniszczeniu. Podobieństwo do ransomware dotyczy okna przestoju operacyjnego, a nie utraty danych”.

Mimo że GhostLock nie szyfruje ani nie usuwa plików, jego zastosowanie może być groźne w szerszej perspektywie. Atakujący mogą wykorzystać masowe blokowanie plików jako dywersję – podczas gdy zespół IT próbuje opanować chaos, napastnicy mogą przeprowadzać kradzież danych, przemieszczać się lateralnie po sieci lub realizować inne cele. Ponieważ narzędzie generuje głównie legalne żądania otwarcia plików, wiele systemów detekcji (EDR, antywirusy) może je przeoczyć.

Jak wykryć i zareagować?

Badacz wskazuje, że jedynym wiarygodnym wskaźnikiem ataku jest liczba otwartych plików na sesję z parametrem ShareAccess = 0 na poziomie serwera plików. Jak dodaje Dvash: „Ta metryka znajduje się w interfejsach zarządzania platformą pamięci masowej, a nie w dziennikach zdarzeń Windows, telemetrii EDR ani danych przepływu sieciowego”.

Administratorzy powinni:

• Monitorować liczbę otwartych uchwytów na serwerach plików i udziałach SMB – nagły wzrost może wskazywać na atak.
• Sprawdzić, czy narzędzia SIEM i systemy wykrywania anomalii (NDR) są skonfigurowane pod kątem wykrywania tego typu wzorców.
• Przygotować procedurę awaryjną – w przypadku ataku wystarczy zakończyć proces GhostLock lub zrestartować system, aby przywrócić dostęp do plików.
• Ograniczyć uprawnienia użytkowników domeny do niezbędnego minimum – im mniej osób ma dostęp do krytycznych udziałów, tym mniejsze ryzyko.

Dodatkowo Dvash udostępnił w swojej dokumentacji przykładowe reguły detekcji dla SIEM i NDR, które mogą posłużyć jako szablon dla zespołów bezpieczeństwa.

Co dalej?

GhostLock to kolejny przykład, że zagrożenia nie zawsze pochodzą z zaawansowanego złośliwego oprogramowania. Często to proste, ale pomysłowe wykorzystanie legalnych funkcji systemowych może przysporzyć najwięcej problemów. Administratorzy powinni traktować to narzędzie jako sygnał do przeglądu własnych mechanizmów monitorowania i reagowania. Warto też śledzić rozwój sytuacji – jeśli technika ta zostanie przejęta przez rzeczywistych napastników, może stać się elementem większych kampanii wymierzonych w infrastrukturę firmową.