かつてArmCorpと名乗り、現在は「The Gentlemen」の下でパートナープログラムを運営するPhantom Mantisは、関係者にランサムウェアだけでなく、侵入時に遭遇するセキュリティスタックに応じて調整されたEDR無効化パッケージを提供する支援機能(LARVA‑368)も用意しています。
運営者は、関係者に自前でツールを調達・改造させる代わりに、これらの無効化ツールを一元的に維持・配布し、より広範なRaaS(Ransomware-as-a-Service)サービスの一部として提供しています。
現在のラインナップはG12、G13、そしてBYOVD方式のツールであるDriverKillerという3つのチェーンが中心で、いずれも最終的な無効化判断をカーネルモードへ移すことで、ユーザーモードでの自己防御機能を回避します。
このカーネル指向のアプローチにより、Phantom Mantisは保護プロセスが強化サービスや保護サービスとして実装されている場合でも、それらを終了させたり不安定化させたりすることができます。
G12とG13は自動化されたローダーで、埋め込まれたドライバーをデコードし、カーネルサービスを登録したうえで、Microsoft、CrowdStrike、SentinelOne、Elastic、Sophos、Bitdefender、Kaspersky、ESETをはじめとする各社のセキュリティ製品・管理ツールや複数のRMM/VAツールなど、約180件のプロセスリストを継続的にスキャンします。
該当プロセスが見つかると、ローダーは対象のPIDをIOCTL 0x22201Cを介してドライバーへ送信します。ドライバーはこれを受けて終了権限付きでプロセスを開き、ZwTerminateProcessを呼び出します。
両チェーンとも、埋め込みドライバーの難読化に単一バイトのXORキー(0xAB)を使用しています。G12はドライバーをdrv.sysとしてdrvsvcというカーネルサービスの下にドロップし、G13はanticheatG13.sysをWindowsのTempディレクトリ配下に「a」という短いサービス名で書き込みます。
これらのドライバーは単純な無効化ロジックにとどまらず、プロセス保護フィルター、Windows Filtering Platform(WFP)によるリダイレクト、コマンドライン書き換え、ファイル操作、プロセスのイメージパス偽装といった機能を実装しており、より広範なカーネルレベルの妨害行為を支えています。
G13はG12の機能ラインを拡張し、ドライバー読み込みの検査、CRCおよびバイトシグネチャによるドライバーのブロック、防御用カーネルコンポーネントを初期化前に無力化するフレームワークを追加しています。
新しいカーネルイメージが読み込まれると、G13はホワイトリスト、CRC32ブラックリスト、任意設定のバイトシグネチャ、VMProtectのマーカーと照合して評価します。一致した場合は、ドライバーのエントリポイントを書き換えて即座にSTATUS_ACCESS_DENIEDを返すようにし、防御用ドライバーの起動そのものを事実上阻止するとcatalystは述べています。
プロセス終了にとどまらず、G13は破壊的なメモリ操作も導入しています。選択したプロセスにアタッチして書き込み可能なユーザー空間領域を特定し、そこに繰り返しパターン(例:0xCC)を上書きすることで、終了処理がブロックされたり監視されたりしている場合でも実行を破綻させることを狙います。
さらに、MmCopyVirtualMemoryによるプロセス間バッファ転送、ミニフィルターの列挙・登録解除、WindowsData由来のファイル名を用いたXOR難読化ログファイルによる保護されたロギングにも対応しています。
ANY.RUNでSOC調査の死角を減らし脅威を早期に封じ込めることで、対応コストと業務への影響を抑えましょう。
翻訳元: https://cyberpress.org/phantom-mantis-arms-affiliates/
