Um pesquisador de segurança revelou uma nova técnica que pode bloquear o acesso a arquivos em redes corporativas utilizando apenas um recurso legítimo do sistema operacional Windows.
A ferramenta, chamada GhostLock, foi criada por Kim Dvash, da Israel Aerospace Industries, e publicada no GitHub como prova de conceito.
O objetivo é alertar empresas sobre um tipo de ataque que pode causar paralisação operacional semelhante à de um ransomware, mas sem criptografar, apagar ou alterar qualquer arquivo.
Como funciona o ataque
A técnica explora uma função nativa do Windows chamada CreateFileW.
Essa função é amplamente utilizada por programas comuns, como editores de texto e planilhas, para abrir arquivos.
Ela possui um parâmetro chamado dwShareMode, responsável por definir se outros programas podem acessar o mesmo arquivo simultaneamente.
Quando esse parâmetro recebe o valor zero, o sistema coloca o arquivo em modo exclusivo.
Na prática, isso significa que nenhum outro usuário ou programa consegue abrir aquele arquivo enquanto o bloqueio estiver ativo.
Esse comportamento é normal e faz parte do funcionamento do Windows.
O diferencial do GhostLock está em usar esse recurso de forma massiva.
Bloqueio em larga escala
A ferramenta foi desenvolvida em Python e utiliza múltiplas tarefas paralelas para percorrer rapidamente grandes volumes de arquivos.
Segundo o pesquisador, em uma rede com cerca de 500 mil arquivos, o bloqueio completo pode ser realizado em menos de dez minutos.
Durante esse período, qualquer tentativa de acesso resulta em erro.
Para os usuários da rede, o impacto é muito parecido com o de um ataque de ransomware:
- Arquivos ficam inacessíveis
- Processos são interrompidos
- Operações podem parar completamente
A diferença é que nenhum dado foi alterado ou sequestrado.
Não exige acesso administrativo
Um dos pontos mais preocupantes é que o ataque não depende de permissões elevadas.
Qualquer usuário com acesso comum à rede corporativa pode executá-lo.
Isso inclui:
- Funcionários com contas padrão
- Dispositivos comprometidos por invasores
- Máquinas infectadas dentro da rede
A técnica também funciona em compartilhamentos de rede via protocolo SMB, amplamente utilizado em empresas para armazenamento centralizado.
Se a conexão for interrompida, o atacante pode simplesmente se reconectar e repetir o processo.
Difícil de detectar
Ferramentas tradicionais de segurança normalmente monitoram ações como:
- Criação de arquivos
- Exclusão
- Modificação
- Criptografia
Como o GhostLock não realiza nenhuma dessas ações, ele pode passar despercebido.
O único sinal visível aparece em métricas avançadas de administração de servidores, que mostram quantos arquivos estão abertos em modo exclusivo.
Essas informações geralmente não fazem parte dos logs padrão e raramente são monitoradas pelas equipes de segurança.
A boa notícia: os dados não são perdidos
Diferente de um ransomware real, o GhostLock não causa destruição permanente.
Assim que a sessão responsável pelo bloqueio é encerrada, o próprio Windows libera automaticamente todos os arquivos.
Isso pode acontecer de forma manual, pela equipe de TI, ou com a reinicialização do servidor.
O acesso é restaurado imediatamente.
O maior desafio é a identificação
Segundo o pesquisador, o principal problema não é a recuperação, mas sim descobrir rapidamente o que está acontecendo.
Muitas equipes de resposta a incidentes estão preparadas para lidar com malware tradicional, mas nem sempre possuem conhecimento profundo em administração de armazenamento corporativo.
Essa lacuna pode aumentar o tempo de paralisação.
Por que a ferramenta foi publicada
Dvash afirmou que o GhostLock foi disponibilizado publicamente para que empresas possam testar seus ambientes e verificar se conseguem detectar esse tipo de comportamento antes que ele seja explorado de forma maliciosa.
O caso mostra que nem toda ameaça depende de falhas de segurança.
Às vezes, recursos legítimos de um sistema podem ser explorados de maneiras inesperadas, criando novos desafios para a proteção de ambientes corporativos.
