ランサムウェア集団「The Gentlemen」が、これまで報告されていなかったクロスプラットフォーム対応の指令サーバー(C2)フレームワーク「TukTuk」を使用していることが判明しました。あわせて、EDR無効化ツール、DLLサイドローディングに関する調査資料、そしてテクノロジー企業や医療機関から窃取したとみられるデータセットも確認されています。
フィンランドでホストされているサーバーの解析により、研究者はTukTukの開発プロジェクト一式を発見したと評価しており、同集団の侵害後の活動能力について異例なほど詳細な実態が明らかになりました。
このサーバーはHetzner Online基盤上のIPアドレス 65.109.70.162 でホストされており、攻撃ツール、調査資料、窃取データが同一環境に保存されていました。
収集された資料には、 tuktuk-v2.0_10.zip、 TukTuk.exe、GreenshotのDLLサイドローディングパッケージ、EDRキラーのコンポーネント、脆弱ドライバーのテスト用資料、224件のJiraチケット、そしてある大手医療企業のインフラ環境に紐づく認証情報が含まれていました。
アーカイブにはTukTukの中核をなす4つのコンポーネントが含まれていました。Windows用エージェント、Linux用エージェント、バックエンドサービス、そしてElectron/Node.jsベースのオペレーターパネルです。
復元されたコードからは、このフレームワークがホスト情報の収集、コマンドの受信、ファイル管理、スクリーンショットの取得、そして侵害端末上での対話型シェル操作をサポートできることが示されています。
パネルの機能は単純なリモートアクセスにとどまりません。報告によれば、そのインターフェースにはサーバー・エージェント管理、プロセス制御、スクリーンショットのギャラリー表示、認証情報の一覧表示、ファイルアップロード機能、定型コマンドのショートカット、任意コマンドの実行などが含まれています。
「Cred Prompt」と呼ばれる機能では、偽のWindowsセキュリティダイアログを表示し、被害者が入力した認証情報を取得することができます。
SecurityProducts & Services
以前確認されたキャンペーンでは、Microsoft SysinternalsのRAMMapを装った悪意あるMSIインストーラーから侵害が始まり、その後ClickHouse、Supabase、Dropbox、GitHub Issues、Slack、Ably、そしてArweaveベースのデッドドロップ解決を含むクラウド・SaaS経由の通信が使用されていました。
WindowsとLinuxそれぞれに専用エージェントが用意されていることから、TukTukは単一プラットフォーム向けのインプラントではなく、複数OSが混在する企業環境を想定して設計されたものとみられます。
そのバックエンドは、パネルを通じて設定されたリスナーに基づきエージェントとの接続を処理し、タスクの割り当て、実行結果の受け取り、ホスト状態の管理を行います。
研究者はさらに、正規の実行ファイル Greenshot.exe と悪意ある log4net.dll から成るDLLサイドローディング一式も発見しました。
Greenshotが起動すると、自身のローカルディレクトリから攻撃者が用意したDLLを読み込み、信頼されたアプリケーションを隠れ蓑にしてTukTukエージェントを起動する仕組みです。
Oasisの研究者によると、この機能は、攻撃者がEtherRATを展開した後にTukTukを投入し、最終的に被害環境全体にランサムウェアを展開したという、The Gentlemenによる過去の侵入事例に関する既存の報告内容と一致しているとのことです。
TukTuk C2フレームワーク
悪意ある log4net.dll の静的解析では、TukTuk関連のコード、サーバーアドレス、トークンデータ、そしてSlack、GitHub、Dropboxに関連する設定要素が確認されたと報告されています。
このサンプルは72のアンチウイルスエンジンのうち17によって検出された一方、 TukTuk.exe は解析時点で68ベンダー中わずか2社にしか検出されておらず、独自開発または新興のツールがいかに低い検出率を維持できるかを物語っています。
同サーバーにはProcMon、Slack、Postmanを対象としたサイドローディングの調査資料も保存されており、攻撃者が複数の正規アプリケーションをローダー候補としてテストしていたことがうかがえます。
これ以前の公開報告でも、Greenshot、SyncTrayzor、DocFX、Cakeといったトロイの木馬化されたユーティリティが、より広範な侵入チェーンの中で同様に確認されていました。
最も強力な帰属の手がかりとなったのが eb.sys で、そのSHA-256ハッシュ値が、The Gentlemenに関連する既知のGentleKillerサンプルと一致しました。
GentleKillerは、カーネルドライバーを悪用してエンドポイント保護製品を妨害するために使われるEDRキラーツールキットです。
解析対象のサーバーには、ある大手医療企業のIaC(Infrastructure-as-Code)プラットフォームに関連する認証情報およびインフラ関連情報も含まれていました。
復元された資料は、EDRキラー開発、BYOVD(Bring Your Own Vulnerable Driver)のテスト、脆弱ドライバーの探索、カーネルレベルの調査という4つの「レッスン」形式で整理されていました。
EDRKiller、WarsawKiller、UnknownKiller、そして wsftprm.sys に関連するファイル群からは、ドライバーの読み込み、保護プロセスへのアクセス、セキュリティツールの終了といった動作に運用の焦点が置かれていたことがうかがえます。
SecurityProducts & Services
注目すべき点として、あるレッスンではプロセス終了後の各EDR製品の自動復旧動作を比較していました。
このようなテストは、ランサムウェアの攻撃者がエンドポイント製品を無効化してから自己復旧するまでの短い時間差を把握する助けとなり、その隙を突いた認証情報の窃取、水平移動、データのステージング、暗号化といった後続の行動を可能にします。
このサーバーには224件のJiraチケットと8件の添付ファイルも保存されており、あるグローバルテクノロジー企業のJira環境から窃取されたものと評価されています。
これらの資料には、サポート記録、認証情報、インフラの詳細、脆弱性情報、技術的な添付資料、侵入テストの報告書、機密性の高い概念実証(PoC)コードが含まれていたと報告されています。
一部の記録は米国の国防関連組織、契約企業、航空宇宙関連企業とつながっており、ホストおよびシステムの識別情報、ネットワーク情報、認証上の問題、サポートログといった機密性の高い詳細が露出する可能性がありました。
これとは別に、分析担当者はある大手医療企業のIaCプラットフォームに関連する認証情報およびインフラデータも発見しました。
その資料には、AWSのアクセス情報、本番データベースの認証情報、Azure ADおよびBitbucketの詳細、クラウドストレージの参照情報、VPCエンドポイントのデータ、証明書、インフラ構成に関する資料が含まれていました。
認証情報の収集、EDRの無力化、再利用可能なマルウェアの開発、データ窃取を組み合わせたこの手口は、The Gentlemenが単なる暗号化中心のランサムウェア集団にとどまらないことを示しています。
同集団は、ランサムウェア展開に先立ち、初期アクセスの支援、隠密性の確保、認証情報の収集、持続的アクセスの維持、クロスプラットフォームでのリモート制御、そして高価値データの窃取までを支える技術的なエコシステムを維持しているとみられます。
★ どのセキュリティツールを削減すべきか?1ページでスコアリング – 継承セキュリティスタックガイドをダウンロード
翻訳元: https://gbhackers.com/tuktuk-c2-framework/
