Im Kern missbraucht GhostLock den Parameter „dwShareMode" der Funktion CreateFileW(). Dieser legt fest, welchen Zugriff andere Prozesse auf eine geöffnete Datei haben. Wird eine Datei mit „dwShareMode = 0" geöffnet, gewährt Windows dem Prozess exklusiven Zugriff und verhindert, dass andere Nutzer oder Anwendungen dieselbe Datei öffnen. Versucht es ein anderer Prozess dennoch, antwortet Windows mit dem Fehler „STATUS_SHARING_VIOLATION".

Das von Dvash auf GitHub veröffentlichte Tool automatisiert diesen Vorgang, indem es rekursiv eine große Zahl von Dateien auf SMB-Freigaben öffnet. Solange die Handles aktiv bleiben, scheitern neue Zugriffsversuche an Freigabeverletzungen. Der Angriff funktioniert ohne erhöhte Rechte und lässt sich von gewöhnlichen Domänenbenutzern starten. Verschärft wird die Wirkung, wenn ein Angreifer den Angriff gleichzeitig von mehreren kompromittierten Geräten aus führt und die Datei-Handles fortlaufend neu beansprucht, sobald vorherige Prozesse beendet werden.

Die Sperre ist allerdings nicht von Dauer: Sobald die zugehörige SMB-Sitzung beendet wird, die GhostLock-Prozesse beendet werden oder das betroffene System neu startet, schließt Windows die Handles automatisch, und der Zugriff auf die Dateien wird wiederhergestellt.

Gegenüber BleepingComputer ordnete Dvash die Technik als Störungsangriff ein. Sie ähnele eher einem Denial-of-Service, könne aber als Ablenkung während eines Einbruchs dienen: Angreifer könnten mit weitläufigen Zugriffsstörungen das IT-Personal binden, während sie an anderer Stelle Daten stehlen, sich seitlich im Netzwerk bewegen oder weitere schädliche Aktivitäten ausführen.

Schwer erkennbar ist GhostLock, weil viele Sicherheitsprodukte und verhaltensbasierte Erkennungssysteme auf massenhafte Schreibvorgänge oder Verschlüsselungsoperationen ausgerichtet sind. GhostLock erzeugt dagegen überwiegend legitime Anfragen zum Öffnen von Dateien. Laut Dvash ist das einzige zuverlässige Erkennungsmerkmal die Zahl der pro Sitzung geöffneten Dateien mit „ShareAccess = 0" auf Ebene des Dateiservers – ein Wert, der in den Verwaltungsoberflächen von Speicherplattformen liegt und sich weder in den Windows-Ereignisprotokollen noch in EDR-Telemetrie oder Netzwerkflussdaten findet.

Für Verteidiger hat der Forscher im GhostLock-Whitepaper SIEM-Abfragen und eine NDR-Erkennungsregel bereitgestellt, die IT-Teams als Vorlage für eigene Erkennungen nutzen können.