REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
L’analyse d’une infrastructure associée à The Gentlemen rapproche un framework de commande, des outils de neutralisation des protections et des données volées. Elle invite à examiner ensemble postes, tickets et secrets de développement.
Déroulement décrit par la source
- Le rapport décrit TukTuk 2.0 avec des agents Windows et Linux, un backend et un panneau de gestion.
- Le serveur contient un fichier eb.sys associé à GentleKiller et des documents consacrés aux pilotes vulnérables et à la neutralisation des EDR.
- Des configurations de chargement latéral de DLL et des données issues de Jira et d’une plateforme d’infrastructure comme code sont également signalées.
Comprendre les mécanismes et les enseignements
- Leçon défensive : désactiver un EDR et exploiter des secrets d’infrastructure sont deux dimensions d’un même risque opérationnel. Un contrôle limité au poste laisse de côté les accès cloud et les automatisations auxquels ce poste peut donner accès.
- La présence d’un outil ou d’un document sur un serveur ne démontre pas son utilisation dans chaque intrusion. Une réponse proportionnée distingue ce qui a été observé dans un environnement de victime des capacités seulement retrouvées dans une boîte à outils.
Les vérifications défensives utiles
- Examiner les modifications de services de sécurité, les chargements de pilotes et les exceptions récemment accordées. Mettre en relation ces événements avec les connexions administratives et conserver une copie des journaux hors des machines investiguées.
- Rechercher les secrets placés dans les tickets, dépôts et paramètres d’automatisation. Pour les accès effectivement exposés, organiser une rotation coordonnée et vérifier les usages associés plutôt que supprimer simplement le fichier qui les contenait.
- Contrôler les emplacements de DLL et les répertoires inscriptibles des applications autorisées. Réduire les droits d’écriture inutiles et tester les règles de contrôle applicatif sur les usages métiers avant de généraliser une restriction.
Portée et limites
Le matériel retrouvé révèle des capacités et des données exposées. Il ne permet pas de reconstituer une chronologie complète de toutes les victimes, ni d’attribuer à chaque outil une exécution effective dans chaque environnement.
Rapport original
Inside The Gentlemen: Undisclosed TukTuk C2 Framework and EDR Neutralization Research — oasis-security.io.