DHCランサムウエア被害①で前述していますが、DHCに対する「サイバー攻撃、及び情報窃取」を自身らのリークサイトで宣言しているThe Gentlmenランサムウエアについて…
窃取した情報資産の管理はどうなっている？
今回は、The Gentlmenが、窃取した情報資産をどのように管理しているのか？について検証した結果を平易に語りたいと思います。
検証サンプルとして、既に交渉期限を超過し、窃取情報が公開されている欧米の被害企業を選定しました。
- 被害組織、サーバー名、取引先、個別ファイル名は、原則として伏せております。
- 統計と構造だけを扱います。
- 繰り返しますが、検証対象データはDHCのものではありません（未だ非公開状態）
要約
1.公開されているのは、マスキングをしていますが3つのフォルダと📄 maineoxy-FileList.txt（10.1 MB）です。
データはフォルダ単位で公開されていました。
その中で興味深いのは、📄 maineoxy-FileList.txt（10.1 MB）です。
2.容量が分かる可能性
もし、もし FileList.txt の中に、下記の様な情報が含まれていれば、全体容量を計算出来る可能性があります。
filename
size
path
modified
3.フォルダ名から推測できること
一番上にあるフォルダ名からすると、マスキングしているので皆さんには分かり難いので申し訳ありませんが、「Hyper-V ホスト」である可能性があります。
一方で、上から2つ目のフォルダ「〜DeploymentShare」は、Microsoft Deployment Toolkit（MDT）などで使用される展開共有フォルダを連想させます。
4.「maineoxy-FileList.txt（10.1MB】に着目。
私が一番観てみたいと思ったのがこのmaineoxy-FileList.txt（10.1MB）です。
10MBということは、単なる数百件の一覧ではありません。
このサイズなら…数十万〜数百万規模のフィル一覧である可能性があります。
つまり、公開されているデータだけではなく、窃取したファイル全体のインデックス（目録）である可能性があります。
例えば…
D:\Users\
D:\Finance\
D:\HR\
…
・・・のようなディレクトリ構造や…
○○ files
Total Size
…のような統計情報が有るかを確認できれば、①総ファイル数、②総容量、③ディレクトリ構成を分析出来る可能性が出てきます。
DHCとの比較で見たい点
もし今夜 DHC が公開されたら、特に比較したいのは次の3点です。
- DHCにも
FileList.txtが付属するのか。 - 公開フォルダ数は何個か。
- 総容量やファイル数を示す情報が含まれているか。
これらが分かれば、「The Gentlemen が被害企業のデータをどのような形式で公開するのか」という運用方針について、より具体的な分析ができそうです。
5.FileList.txt は「ファイル一覧」でした。
予想どおり、この maineoxy-FileList.txt は”ファイル一覧（インデックス）”でした。
./MOIMG01_D
./MOIMG01_D/GlobalCapture
./MOIMG01_D/GlobalCapture/SampleOCR
と、ディレクトリ構造がそのまま列挙されていました。
6.OCRシステムが存在していた可能性
気になったのが…
GlobalCapture
SampleOCR
です。
これは名称だけで断定はできませんが、一般に OCR（Optical Character Recognition：光学文字認識） を利用した文書管理システムを示唆する名称です。
更に…
1.png
1.pdf
thumb
という構成が繰り返されています。
つまり…
紙文書
↓
スキャン
↓
PDF生成
↓
OCR処理
↓
サムネイル生成
という文書電子化のワークフローだった可能性があります。
6.UUIDが大量に並ぶ理由
例えば、
0a263ffd-4d65-45c3-8671-…
…のような長い文字列があります。
これは、UUID（Universally Unique Identifier）という一意識別子である可能性が高いと考えています。
つまり、「文書ID」として管理されていたのだと思います。
7.サムネイルまで窃取されている
興味深いのは、thumb や thumb/1.png までがあることです。
つまり、攻撃者は、文書だけではなく、その管理システムごとに取得した可能性があると考えます。
誤解を恐れず言うならば、被害者の管理システムへ侵入し、根こそぎ持ち出した？ような印象です。
8.これは「容量」は分からない
残念ながら、この FileList は「ファイルパス」だけなので、
現時点では、①サイズ、②更新日時、③ハッシュ値などは記憶されていません。
従って、このファイル単体から「総容量」は計算出来ませんでした。
最後に
今回は、ざっと見渡しここまでとしたいです。
今回、ターゲットにしたファイル「maineoxy-FileList.txt」ですが、これは単なるファイル一覧ではなく、攻撃者が窃取したサーバーのディレクトリ構造をほぼそのまま列挙したインデックスになています。正直短時間で全て見きれません。
私が予想していた以上であった点として、これは業務システム内部の管理構造まで列挙されているものだったことです。
詳細を評価してまとめるには、片手間でまとめ上げようとすると一週間ちょいかかりそうです(^_^;)
この詳細は、次の機会にしたいと思います。また、今回は、ちょっと専門的な言い回しが増えてしまったので反省しています。
「ネット探検ラボ」では、多くの方々にネット探検に参画してもらいたいという願いもあって立ち上げたサイトです。その記載内容に工夫をこらし平易に楽しく分かりやすく独力して参りたいと思います。
コメント