INCとThe GentlemenランサムウェアがAIを活用した攻撃インフラを暴露

概要

INCとThe Gentlemenランサムウェアグループに関連するアフィリエイトは、AI駆動の侵入エコシステムを使用して、偵察、コマンド生成、データトリアージを自動化しています。運営者は、大規模な侵入をサポートするために、商用LLMと共にPhantomというカスタムフレームワークに依存しています。コマンド・アンド・コントロールのインフラストラクチャと保存されたAIセッションログが露呈した主要なOPSECの失敗後にエコシステムが明らかになりました。

調査

調査は、45.227.254.43にあるコマンド・アンド・コントロールサーバーが公開され、PhantomのソースコードとAIセッションデータベースを含むオープンディレクトリが発見された後に始まりました。設定ファイルと露呈したクレデンシャルの分析により、さらに6つの敵対者制御サーバーが特定されました。研究者は、技術的な実行の多くをAIが処理しつつ、人間の運営者が全体の監督を維持する高度に自動化されたワークフローを明らかにしました。

緩和策

組織は、特にFortiClient EMS、SimpleHelp、cPanelなどのエッジデバイスのパッチ適用を優先して、一般的な初期アクセスベクトルを排除すべきです。MFA（多要素認証）のRMM、VPN、およびリモートアクセスプラットフォーム全体での実施は、クレデンシャル再利用リスクを低減するために重要です。防御者はEDRの改ざん防止を有効にし、許可されていないセキュリティサービスの終了や既知の脆弱ドライバの読み込みを監視すべきです。

対応策

悪意ある活動が検出された場合、影響を受けたエッジデバイスを隔離し、EMSおよびRMMプラットフォームの全ての管理アカウントを確認して許可されていない追加を確認します。VPN接続スクリプトをチェックして不審な変更を確認し、すぐに漏れたクレデンシャルをローテートします。C2チャネルを特定して終了するために、スケジュールされたタスクとアクティブなリバースSOCKSトンネルの包括的な確認を行います。

シミュレーション実行

• 攻撃の物語とコマンド: 敵対者は初期アクセスを得て、横方向の移動のための強力なトンネルを確立することを意図しています。最初に、トンネリングツールのリネームされたバージョンを実行しようとしますが、環境の検出能力をテストするために、ルールをトリガーするように「Ligolo」という文字列をそのまま使用してコマンドを実行します。次に、Pythonベースのビーコンを展開します。TLS証明書を検査するネットワークセキュリティ機器による検出を避けるために、TLS検証を無視するようにPythonスクリプトを設定し、 tls_verify_disabled ルールによって期待されるテレメトリパターンをシミュレートします。

• 回帰テストスクリプト:

   # シミュレーションスクリプト: 文字列マッチとPython TLS回避を介して検出ルールをトリガー
  
    Write-Host "[+] シミュレーションを開始..." -ForegroundColor Cyan
  
    # 1.選択1のトリガー: コマンドラインが『Ligolo』を含む
    Write-Host "[+] トンネリングツールシミュレーション（Ligolo）を実行中..." -ForegroundColor Yellow
    Start-Process "cmd.exe" -ArgumentList "/c echo Running Ligolo Tunneling Engine..." -WindowStyle Hidden
  
    # 2.選択2のトリガー: Pythonでシミュレーションされた『tls_verify_disabled』メタデータ
    # 注: 『tls_verify_disabled』はEDRからのカスタムメタデータフィールドである可能性が高いため、
    # そのようなタグを生成する振る舞いをシミュレートします。
    Write-Host "[+] Pythonビーコンシミュレーション（TLS検証無効）を実行中..." -ForegroundColor Yellow
  
    # このコマンドは、SSL検証を明示的に抑制しながらリクエストを実行するPythonプロセスをシミュレートし、
    # 高度なEDRによってフラグが付けられます。
    $pythonCode = "import urllib.request, ssl; context = ssl._create_unverified_context(); urllib.request.urlopen('https://expired.badssl.com/', context=context)"
    python -c $pythonCode
  
    Write-Host "[+] シミュレーション完了。SIEMで警告を確認してください。" -ForegroundColor Green

• クリーンアップコマンド:

   # クリーンアップ: このシミュレーションではファイルは作成されませんでしたが、不明瞭なプロセスが残っていないことを確認します。
    Stop-Process -Name "python" -ErrorAction SilentlyContinue
    Write-Host "[+] クリーンアップ完了。" -ForegroundColor Cyan