The Gentlemenランサムウエア分析①

わかったこと

atlas.txtは約40万件・約881GBの目録。
公開されていたのはファイル本体ではなく情報資産の構造。
フォルダ構成から企業システムの一部が読み取れたこと。

はじめに

前回の記事が好評だったことから、本シリーズではリークサイトを観察しながら、情報資産の構造や攻撃者の特徴を分かりやすく紹介していきたいと思います。

分析に着手するにあたり

本シリーズでは、調査のために窃取された情報資産のフォルダやファイルを確認することがあります。しかし、その目的は中身を興味本位で見ることではありません。私が観察したいのは、情報資産がどのような構成で管理され、どのような形で公開されているのかという点です。

The Gentlemenは何を公開したのか。
どのような構造で管理しているのか。
公開方法から運営思想は見えるのか。
交渉戦略との関係はどうか。
他のランサムウェアグループとの違いは何か。

…を分析する点にあります。

今回確認したサンプルデータからは、The Gentlemenが単にファイルを並べて公開しているのではなく、被害企業の業務構造をかなり詳細に把握した上で情報を管理している様子がうかがえました。

リークサイトは脅迫のための「掲示板」である一方、攻撃者自身の運営思想や情報管理手法を映し出す窓口であろうと見ています。今後も公開方法や構成の変化を継続的に観察することで、このグループの特徴がさらに見えてくると考えています。

① 被害企業紹介画面の分析

まず分かること

この企業はドイツの防衛・造船分野に関わる企業です。

画面を見ると、

企業名
外部サイト（ZoomInfo等）
企業概要
推定データ量（1TB+）
「Data」ボタン

だけで構成されています。

つまり、The Gentlemen自身が企業紹介ページを作成していることになります。

興味深い点①

「企業紹介」が付いている

従来のランサムウエアグループのLockBitやBlackCatでは、単純に…

Company
Countdown
Publish

…程度しか書かれていないケースも珍しくありませんでした。

一方、The Gentlemenは、企業概要まで添えています。

つまり、「どんな企業なのか」まで第三者へ説明しています。

これは、閲覧者を意識した構成になっていると言えます。

興味深い点②

1TB+

これも重要です。

恐らくこれは、窃取データ総量を示していると思います。

しかし、この数字だけでは…

圧縮前か？
圧縮後か？
公開済み容量か？
保有容量か？
「+」は「〜以上」を示しているのか？

…は分かりません。

よって、「1TB+と表示されているが、この数値が何を意味するのかは現時点では断定できない。」と考えます。

興味深い点③

「Dataボタン」

この画面では、「Data」というボタンしかありません。

つまり、攻撃者は、閲覧者を…

企業紹介
↓
Data

という導線で誘導しています。

非常にシンプルです。

ここまでで思うこと

The Gentlemenは被害企業名だけを掲示するのではなく、企業概要や事業内容まで掲載していた。閲覧者が「どのような企業なのか」を理解した上で公開データへアクセスできる構成となっており、単なるリーク一覧ではなく、一種の紹介ページとしてデザインされている点が特徴的である。

② Data画面の分析

①の画面の「Data」ボタンを押下すると下記の画面に変遷します。

こちらは更に興味深いです。

最上段に見えるテキストファイル（.txt）「atlas.txt 74.1MB)が、まず目に入ると思います。

その後…・

part_001
part_002
…
part_011

…に分割されています。

ここから考えられること

おそらく「atlas.txt」という大きなテキストファイル（74.1MB）を「7MBずつ」に分割して区切っています。

なぜ分割？

考えられる理由

ブラウザで開きやすい
ダウンロード失敗を防ぐ
Tor利用者向け
巨大ファイルを扱いやすくする

…このあたりではないかと思います。

フォルダ構成

ExampleUpdated
D-0-2
X-0-2
rar

これは非常に面白いと思いました。

現時点では、何を意味するか正直、さっぱり分かりません（笑）

興味深い点

最初に予想していた構成はこんな形でした。これなら自然に受け入れられる構成だと思います。

Documents
Finance
HR
Users
Photos
Backup

でも、実際は違っていました。

私が最も着目した点

The Gentlemenは、単にファイルを羅列しているというより、システム単位でデータを扱っているように見えます。

システム
↓
フォルダ
↓
ファイル

もし、この構成がThe Gentlemen側で意図的に維持・活用されているのであれば、彼らは窃取したデータの所在や相互の関連性をかなり把握して運用している可能性があると思います。

私が予想していた以上だったのは、公開方法が非常に整理されていた点でした。

単純に「Documents」「Finance」のような分類ではなく、業務システムを意識したと思われる構成が確認できたこと。これは、攻撃者側が窃取したデータを単に保管しているだけではなく、一定の管理・分類を行っている可能性を示しているように見受けました。

① ファイル「atlas.txt」

やはりこのファイルが一番気になりました。

74.1MBもの容量があります。

確認したいのは…

ディレクトリ一覧なのか
ファイル一覧なのか
ログなのか
SQLなのか
CSVなのか
テキストダンプなのか

…です。

そして

part_001
～
part_011

との関係ですね。

もしatlas.txtの中身が

folder
folder
file

の一覧なら、

part_001～011は単純分割です。

逆に、partごとに内容が違えば、別用途になります。

…ということで、「atlas.txt」ファイルの中身を確認しました！

「atlas.txt」ファイル74.1MBのダウンロードを試みると…

これは非常に興味深い画面です。ここから新たに読み取れることがあります。

① 「Downloading…」の表示

緑色のメッセージには

Downloading…
Tor is slow please wait (limit = 10 minutes) / Contact us via Tox – buy full data.

と表示されていました。

この一文から分かることは、

ダウンロード要求をサーバー側が受け付けている
Tor経由であることを前提に設計している
10分以内というダウンロード時間の制限がある
全データを希望する場合は Toxで連絡して購入できることを案内している

…という点です。

② 「buy full data」

私はここが一番気になりました。

つまり公開されているものは、「全データではない」可能性があります。

攻撃者自身が、buy full dataと書いている以上、現在公開しているものは…

サンプル
一部公開
宣伝用

である可能性が高くなります。

これは前々から推察していた「公開データは氷山の一角ではないか」という考えとも一致していました。

③ 74.1MBは何なのか

ここで改めて考えたいのが

atlas.txt（74.1MB）

…です。

もしこれが「全データ」なら「buy full data」という表示と矛盾します。

従って、74.1MBは公開用に用意されたインデックス、あるいは一覧情報である可能性も考えています。

先ず結論から

今回ダウンロードした「atlas.txt」を確認したところ、約39万8千件（約40万件）のファイル情報が目録として記録されていました。

これは、The Gentlemenが保有していると示している情報資産の規模をうかがわせるものです。

最初に分かったこと

冒頭には

Total files – 397,909
Total size – 902,432 MB（約881GB）

とありました。

つまり、以前リークサイトに表示されていた「1TB+」という表示とも概ね整合しています。

atlas.txtの正体

このファイルは

D\
  Atlas\
  Dumps\
  Shared\

というように、ファイルシステム全体を列挙した一覧になっています。

つまり、Windowsでいう…

dir /s

Linuxでいう…

find

…の結果に非常に近いものになっているように思います。

一番驚いた点

攻撃者は、ファイルそのものを公開する前にまず…

「何が存在するか」

を一覧として公開しています。

つまり…

フォルダ
↓
ファイル名
↓
容量
↓
更新日時

まで見せています。

これは、かなり珍しい運用だと思います。

更新日時まで見える

例えば…

Modify Date

まであります。

つまり、攻撃者は、元のタイムスタンプも保持している可能性があります。

これは、ファイルコピーだけではなく、メタデータも保持していることを示唆します。

「Dumps」がある

ここはかなり気になります。

Dumps
production_repo.svn_dump
seafox_repo.svn_dump

…などがあります。

これは、ソースコード管理や開発環境のバックアップを示唆する名称です。

もちろん、名称だけで実際の内容までは断定できません。

ですが、攻撃者が開発関連のデータまで取得していた可能性を示す一つの手掛かりになります。

Shared フォルダ

件数を見ると、D\Sharedが圧倒的に多くなっています。

つまり、企業の共有領域が中心です。

ここには…

Accounting
Corporate Info
Monthly Reports

…など、部門ごとの共有フォルダが大量に存在しています。

これは、個人PCよりも共有サーバーを重点的に取得している可能性を示します。

Shared
Accounting
Corporate Info

…など、会社の共有フォルダ構造がそのまま残っています。

これは以前から推察していたことで…

Thegentlmenは、ターゲット企業の「業務システムの構造まで見えている」

という評価を裏付けていると思いました。

users

さらに

users

配下には、多数のユーザー名が存在しています。

これは、Windowsの

C:\Users

のような構造を連想させます。

つまり、社員ごとの作業領域も取得している可能性があります。

ファイル種別

件数の多い順に見ると

PDF
Excel (.xlsx)
Word (.docx)
Word旧形式 (.doc)
TXT
PNG
JPG
Excel旧形式 (.xls)
Outlookメッセージ (.msg)

…という並びでした。

ここから読み取れるのは、業務文書が中心ということです。

逆に、実行ファイルやプログラムよりも、日常業務で利用する資料の比率が高く見えます。

私が一番重要だと思うこと

ここから見えてきたのは、The Gentlemenは、LockBitなどの他のランサムウエアと違い、単純にZIPを置いているわけではないということです。

まず、目録（Index）を公開し、閲覧者に対し、どんなデータがあるかを示しています。

これは、図書館で言えば蔵書目録を公開しているようなものです。

また、今回の一覧を見ていて思ったことがあります。

The Gentlemenは、「価値がありそうなファイルだけ」を公開しているようには見えません。

むしろ、丸ごと取得しているようです。

つまり…

共有サーバー
↓
ユーザーフォルダ
↓
開発領域
↓
経理
↓
画像
↓
メール

というように、企業の情報資産そのものを保持している印象を受けました。

今回は、ここまで！そしてまとめ！

今回調査した”「atlas.txt」”は、窃取データそのものではなく、”攻撃者が保有している情報資産の目録（インデックス）”でした。

約39万8千件のファイル情報と総容量約881GBが記録されており、The Gentlemenが保有していると示す情報資産の規模を把握する手掛かりとなりました。

一方で、今回私が最も興味を持ったのは、その件数や容量ではありません。

目録を確認すると、単純に「Documents」「Finance」「Users」といった種類別の一覧ではなく、共有フォルダや業務単位を意識した構造が記録されていました。これは、個々のファイルよりも企業の情報資産全体の構成を観察できる資料であることを示しています。

現時点では、この構造が被害企業本来のファイル構成なのか、それともThe Gentlemenが公開・管理のために整理したものなのかは断定できません。しかし、少なくとも攻撃者は、その構造を維持したまま管理・公開しているように見えました。

今回の調査を通じて、私は一つの考えに至りました。

攻撃者が持ち去るのは個々のファイルだけではなく、企業が長年かけて築き上げた「情報資産の構造」そのものではないか。

だからこそ、本シリーズでは、流出した情報の中身を興味本位で紹介することはしません。

私が観察したいのは、情報資産がどのような構造で管理され、攻撃者がそれをどのように整理し、公開しているのかという点です。

その「構造」を読み解くことが、このシリーズの目的です

次回予告

次回は、約8,000件確認されたOutlookメール（.msg）に着目します。

メールは単なる連絡手段ではありません。

日々の業務、意思決定、取引先とのやり取りなど、企業活動そのものを映し出す重要な情報資産です。

The Gentlemenが、こうした情報資産をどのような形で整理・保持・管理しているのかを引き続き検証していきます。

攻撃者が持ち去るのは、個々のファイルだけではありません。

企業が長年かけて築き上げた「情報資産の構造」そのものではないか。

このシリーズでは、その視点を軸に、一つひとつ事実を確認しながら「情報資産の構造」を観察していきます。