Come dimostrare un falso positivo

In realtà ci sono alcune bandiere rosse che mi distinguono.

The computer was only just put on the network on Friday, it runs Windows 7 Professional, Service Pack 1. IT did not even have time to update Windows before the network connection was blocked on Monday morning.

Letture: è stato collegato un computer che esegue una versione di Windows non aggiornata e non aggiornata su una rete universitaria. Non ha un sistema immunitario e tu lo hai appena esposto a qualunque agente patogeno galleggia sulla rete ... e dato che è un'università, ce ne saranno molti.

The computer has been behaving as expected. No erratic behavior has been noticed.

Letture: il ransomware sta facendo il suo lavoro come progettato. Non sei supposto che noti qualcosa di irregolare.

Infosec cited the computer's lsass.exe file as a concern (SHA256: 620638756a5ee6ea933a7a4c94e7dd2537e2a7345bbeff72d28271c0174d10a2) They stated that this lsass.exe file is "associated" with mssecsvc.exe__ (SHA256:74d72f5f488bd3c2e28322c8997d44ac61ee3ccc49b7c42220472633af95c0c0)

Searching the computer's hard disk shows that there is an lsass.exe file. There is no mssecsvc file.

I malware possono essere di natura dinamica. Solo perché un lsass.exe compromesso ha approfittato di mssecsvc nei casi in cui ne siamo a conoscenza, non significa che non stia abusando di un altro eseguibile nel tuo caso.

Ovviamente hai lsass.exe sulla tua scatola; tutti i computer Windows fanno. Ti stanno dicendo che sei pwnato perché il tuo hash hass corrisponde a quello delle versioni conosciute e compromesse. Hai eseguito l'hash della tua copia per verificare o rifiutare la richiesta?

Full scans with Norton antivirus show 0 threats (not even a tracking cookie)

Letture: l'AV locale è probabilmente compromesso.

The computer is expressly not used for web browsing or e-mail. The network connection only exists to provide access to local network files.

Un lotto di ransomware utilizza esplicitamente le condivisioni di rete locali per diffondersi una volta che si intrufola nella tua rete. Questo non è un sostituto per la protezione.

Purtroppo questo potrebbe non essere un falso positivo. Capisco la posta in gioco, ma provo a lavorare con loro per rimediare a questa situazione. Anche se hai ragione, è probabile che abbiano visto che hai una versione gratuita e sfruttabile di lsass sulla tua macchina basata sull'hash, che è stata precedentemente sfruttata in altri attacchi. Potresti vedere se sarebbero disposti a darti l'accesso a Internet DMZ in modo da poterlo correggere, aggiornare le tue firme AV e vedere se valuteranno la tua macchina.

LSASS è il servizio di sottosistema dell'autorità di sicurezza locale che fa parte di Windows e viene preso di mira dal malware per estrarre le credenziali dell'utente dalla memoria. Quindi sì LSASS è un file legittimo normalmente.

Ora il punto di dolore, ascolta la tua squadra di infosec. Se questo è ransomware, potrebbe aver tentato di accedere a LSASS per estrarre credenziali in modo che possa spostarsi lateralmente nella rete. Non essere in grado di trovare un file su disco non significa che non ci sia.

L'AV locale non lo rileva - le tue firme AV sono aggiornate? Molto probabilmente non si connetterebbe solo la scatola alla rete. Macchina senza patch in rete, anche per una condivisione di rete, suona come l'exploit SMB è stato utilizzato per infettare il computer.

Ascolta il tuo team infosec: sono in una posizione migliore rispetto a te per effettuare la chiamata.

Sono d'accordo con la risposta di Ivan, e volevo semplicemente inserire informazioni da un'altra angolazione.

Al momento non ci sono collisioni conosciute di SHA256. Le persone cripto hanno cercato di trovarne una per un po 'ora e hanno fallito.

Affinché questo sia un falso positivo, devi credere che l'hash SHA256 di un componente malevolo si verifichi, in pura coincidenza, per abbinare l'SHA256 di un componente sul tuo sistema operativo e che tu sia riuscito a fare accidentalmente cosa l'intera comunità crittografica non è riuscita a fare.