ランサムウェアグループ「The Gentlemen」に関連することが新たに判明したサーバーには、これまで報告されていなかった指令サーバー(C2)フレームワーク「TukTuk」や、エンドポイントセキュリティ製品を無効化するツール、さらに世界的な2社から窃取されたとみられるデータが保存されていました。
脅威インテリジェンスの研究者らは、フィンランドのHetzner Onlineがホストするこのサーバーを、IPアドレス65.109.70.162で特定しました。
収集されたファイルには、TukTuk C2プロジェクト一式、悪意のあるDLLサイドローディングコンポーネント、EDR無効化ツール、脆弱なドライバーに関する調査資料、そして流出した企業情報が含まれていました。
研究者らによると、この証拠はインフラをThe Gentlemenのランサムウェア活動と結びつける有力な材料になるといいます。主な特定要因の一つはeb.sysというファイルで、そのハッシュ値が以前The Gentlemenに関連付けられていたドライバー「GentleKiller」と一致しました。
このサーバーには、以前The Gentlemenが使用していた手法と一致するGreenshotのDLLサイドローディング用パッケージも保存されていました。
サーバー上ではTukTuk v2.0の完全なプロジェクトアーカイブが発見され、Windows用とLinux用それぞれのエージェント、バックエンドサーバーコンポーネント、そしてオペレーター用コントロールパネルが含まれていました。
研究者らによれば、このプロジェクト全体の構造についてこれまで公に開示・文書化された例は確認できなかったとのことです。
TukTukを使うと、オペレーターは侵害したデバイスを監視し、コマンドを実行し、ファイルを管理し、スクリーンショットを取得し、実行中のプロセスを制御できます。
同フレームワークのパネルには、感染したシステム上に偽のWindowsセキュリティのプロンプトを表示できる、認証情報を狙った機能も備わっています。この偽装プロンプトに入力された認証情報は、フレームワーク側に記録される仕組みです。
Windowsエージェントはc#で記述されており、管理パネルにはNode.jsとElectronが使用されていました。専用のLinuxエージェントが発見されたことは、TukTukがWindows限定の攻撃ではなく、クロスプラットフォームでの運用を想定して設計されていたことを示しています。
研究者らはさらに、正規のGreenshotアプリケーションによって読み込まれるよう仕込まれた悪意のあるlog4net.dllも発見しました。このDLLサイドローディング手法により、実行がまるで信頼できるソフトウェアに紐づいているかのように見せかけながら、TukTukエージェントを起動できます。
この悪意のあるDLLには、C2の設定データや、Slack、GitHub、Dropbox、そして既知の悪意あるドメインへの参照が含まれていました。
サーバー内にはさらに、Greenshot、ProcMon、Slack、Postmanを対象にDLLサイドローディングの可能性を調査した研究用フォルダも見つかっています。
サーバーにはエンドポイント検知・対応(EDR)ツールを無力化するための手順書も保存されていました。これらの資料は、既知のEDR無効化ソフトウェア、Bring Your Own Vulnerable Driver(BYOVD)手法、ドライバーのテスト、カーネルレベルの調査を扱っていました。
EDRKiller、WarsawKiller、UnknownKiller、そしてwsftprm.sysという名前のファイルが、4つのレッスンに整理されたトレーニング資料とともに確認されました。
oasisによると、これらの資料はセキュリティツールがプロセスを強制終了された後にどう反応するか、また攻撃者が実際の攻撃に利用できる脆弱なWindowsドライバーをどのように特定するかを検証していたとみられます。
研究者らはまた、まだCVE識別子が付与されていない、未公開の可能性がある脆弱なドライバーに関する作業を示す文書も発見しています。
これらの攻撃ツールに加え、サーバーには世界的な大手テクノロジー企業から窃取されたとみられる224件のJiraチケットと8件の添付ファイルも保存されていました。
これらの記録には、テクニカルサポートのデータ、インフラの詳細、認証情報、脆弱性情報のほか、米国の防衛・航空宇宙・防衛産業関連の顧客に関わる資料が含まれていました。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/ransomware-c2-disarms-defenses/
