193.233.202[.]17上で公開状態になっていたディレクトリから、The Gentlemenランサムウェア攻撃の関係者とみられる人物に関連する、詳細な侵入用ツールキットが発見されました。
回収されたファイルからは、攻撃者がWindowsネットワークへの長期的なアクセス確保、認証情報の窃取、セキュリティ製品の無効化、ドメイン内での水平移動、そして複数のコマンド&コントロール(C2)チャネルの展開を準備していたことがうかがえます。
当該ディレクトリには、合計約145MBに及ぶ82個のファイルが含まれていました。
研究者らは、37個のWindows実行ファイル、22個のPowerShellスクリプト、9個のバッチファイル、6個のスケジュールタスクXMLファイル、EtherRATのMSIインストーラー、Sliverペイロード、Go言語製リバースシェル、Chisel、Ligolo-ng、Mimikatz、そして複数のPotato系権限昇格ツールを回収しました。
Huntressは以前、193.233.202[.]17と77.110.122[.]137を、The Gentlemenによる防御回避活動に関連するプロキシエンドポイントとして特定していました。その後Huntressが行った別の調査では、ClickFixキャンペーンを通じて配布されたEtherRATも確認されています。
このキャンペーンが正式に帰属特定されたわけではありませんが、共通のEthereumスマートコントラクト、類似したMSIファイルの命名規則、そして重複するインフラといった要素から、同一のクラスターとの関連性が示唆されています。
攻撃者はWindowsのスケジュールタスクを多用し、PowerShellスクリプトをリモート実行してペイロードを内部システムに展開していました。
回収されたタスクの一つtask39.xmlは、SYSTEMアカウント権限で実行され、ステージングサーバーからスクリプトをダウンロードしていました。
このスクリプトはローカル管理者アカウントを作成し、それをリモートデスクトップユーザーグループに追加した上で、ドメイン管理者グループへの追加も試みていました。
さらに、複数のESETサービスを停止・無効化し、SAM、SYSTEM、SECURITYの各レジストリハイブをエクスポートして、攻撃者が管理するインフラへアップロードしていました。
この攻撃活動では、独自マルウェアのみに依存することを避けるため、環境寄生型（Living-off-the-Land）のバイナリが活用されていました。リモート展開用スクリプトは、certutil.exeを使ってMSIパッケージをダウンロードし、msiexec.exeでサイレントインストールしていました。
タスクにはWinSvcUpdate2、WindowsUpdSvc、WindowsUpdateSvcといった名称が使われており、通常のWindows管理業務に紛れ込ませる意図がうかがえます。
各スクリプトは管理共有(SMB)やWindows Management Instrumentationを通じて、内部ホストへの接続を試みていました。
攻撃者はペイロードをリモートシステムにコピーし、スケジュールタスクを作成した上で、直接展開が失敗した場合には代替手段を使用していました。
この手法により、当該アフィリエイトはWindowsドメイン全体へアクセスを拡大するための再現可能な手段を手にしていました。主要なペイロードはEtherRATで、これはMSIパッケージを通じてインストールされる、Node.jsベースのインプラントです。
インストール後、%LOCALAPPDATA%\MicrosoftSlttにファイルを作成し、必要に応じてNode.jsをダウンロードした上で、暗号化されたJavaScriptバックドアを復号し、WindowsHostレジストリRunキーを使って永続化を確立します。
EtherRATの注目すべき点は、固定のC2ドメインをマルウェア内部に保持していないことです。
代わりに、パブリックなRPCサービスを通じてEthereumスマートコントラクトに問い合わせを行い、有効なC2アドレスを取得します。今回のサンプルが使用していたコントラクトは0xb3f2897f2bc797e5b9033faef8c81e92b01cb831だったと、hunt.ioは述べています。
この設計により、攻撃者はインプラント自体を再構築・再配布することなくC2インフラをローテーションできます。しかしその一方で、有用な捜査の手がかりも生まれます。Ethereumコントラクトへの更新履歴は、永続的に記録として残るためです。
研究者らは、publisherresolution[.]com、resumeacceptable[.]com、simultaneouslypower[.]com、wiselystarting[.]com、itemrange[.]comを含む、過去に使用された5つのEtherRATドメインを再構築しました。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に高め、SOCを強化しMTTRを短縮しましょう
翻訳元: https://cyberpress.org/gentlemen-affiliate-deploys-etherrat/
