Trigona: Konfigurationsresource, Schlüsselhierarchie und Dateifooter

Prüfauftrag, Stand und Beleggrenze

ThreatLabz-Analyse von Trigona plus offizieller Konfigurationsextractor; keine Aussage über Aktivität im Jahr 2026. Die Leitfrage lautet: Welche Architektur- und Verhaltensaussagen trägt dieser konkrete Prüfstand, und welche bleiben ausschließlich der Quelle zugeschrieben?

Was belegt ist — und was fehlt

Primärquellen, statisch prüfbarer Code und Laufzeitbeobachtungen haben unterschiedliche Aussagekraft. Die Karte hält diese Ebenen auseinander; fehlende Eigenbeobachtung wird nicht durch Plausibilität ersetzt.

Eintritt und Lieferkette

Der Bericht behandelt den Ransomwarekern und seine Konfiguration, nicht einen universellen Initialzugang. Die Delphi-PE enthält eine Resource namens CFGS, die Identifikatoren, RSA-Material, Ausschlusslisten und Lösegeldnotiz strukturiert bereitstellt.

Architektur und Datenfluss

Der Extractor lokalisiert CFGS, entfernt variables Padding, prüft MD5 und zerlegt drei längenkodierte Abschnitte. ThreatLabz beschreibt eine zweilagige AES-CBC-Entschlüsselung mit Residual Block Termination. Für Dateien kombiniert Trigona pro Datei erzeugtes AES-Material mit einem 4.112-Bit-RSA-Schlüssel und AES-OFB.

Originalcode als Architekturbeleg

Der kurze Auszug zeigt nur die im Kapitel benannte Struktur. Er wird nicht ausgeführt und enthält keine vollständige operative Implementierung.

95def get_config_resource(pe):
96    for rsrc in pe.DIRECTORY_ENTRY_RESOURCE.entries:
97        for entry in rsrc.directory.entries:
98            if entry.name is not None:
99                if entry.name.__str__() == "CFGS":
100                    offset = entry.directory.entries[0].data.struct.OffsetToData
101                    size = entry.directory.entries[0].data.struct.Size
102                    data = pe.get_data(offset, size)
103                    return {"data": data, "size": size}
104    return None
105
106
107def parse_sections(data):
108    cfg = Config()
109    config_stream = Stream(data)
110    padding_bytes = config_stream.read_byte()
111    config_stream.read_bytes(padding_bytes)
112    config_md5 = config_stream.read_bytes(16)
113    cfg_data = config_stream.seek_all()
114    actual_cfg_md5 = hashlib.md5(cfg_data).hexdigest()
115    if actual_cfg_md5 != config_md5.hex():
116        print("invalid config!")
117        return None
118
119    section1_size = config_stream.read_int_dword()
120    section1 = config_stream.read_bytes(section1_size)
121    parse_section1_stream(cfg, section1)
122
123    section2_size = config_stream.read_int_dword()
124    section2 = config_stream.read_bytes(section2_size)
125    extensions = parse_section2_stream(section2)
126    cfg.extensions = extensions
127
128    section3_size = config_stream.read_int_dword()
129    ransom_note = config_stream.read_bytes(section3_size)
130    cfg.ransom_note = ransom_note
131    return cfg

Analyseabwehr und Persistenz

Die kryptografische Schichtung schützt Konfiguration und Dateischlüssel, ist aber zugleich strukturiert. MD5, Abschnittslängen und Footerfelder erzeugen prüfbare Beziehungen. Ein Magic- oder Erweiterungswert allein bleibt versionsabhängig und kann durch andere Software kollidieren.

Fähigkeiten, Ziel und Wirkung

Der dokumentierte Verschlüsselungspfad erzeugt Dateien mit `_locked`; ein separater Wiperpfad verwendet `_erased`. Lösegeldnotiz, Verschlüsselung und Löschung sind daher unterschiedliche Wirkungen. Ohne privaten RSA-Schlüssel folgt aus der Kenntnis des Formats keine allgemeine Wiederherstellbarkeit.

Telemetrieplan und Beweiskette

Erkennung sollte CFGS-Resource, konsistente Abschnittsstruktur, ungewöhnliche Dateiumbenennung, HTA-Lösegeldnotiz und massenhafte Schreibaktivität verbinden. Erweiterungen oder Hashes allein sind schwach und können Variantenwechsel nicht tragen. Für eine belastbare Untersuchung werden Prozess-GUID und vollständige Elternkette, Nutzer und Sitzung, Befehlszeile, Signatur- und Hashstatus, Datei- und Registryänderungen, DNS-/Verbindungsziele sowie nachgelagerte Zugriffe auf sensible Daten in einer gemeinsamen Zeitleiste erhalten. Zeitnähe ist dabei ein Belegparameter, keine bloße Visualisierung. Fehlende Sensorabdeckung wird pro Stufe markiert, damit ein nicht sichtbares Ereignis nicht fälschlich als nicht erfolgt gilt.

Detection Engineering und Gegenprüfung

Erkennung sollte CFGS-Resource, konsistente Abschnittsstruktur, ungewöhnliche Dateiumbenennung, HTA-Lösegeldnotiz und massenhafte Schreibaktivität verbinden. Erweiterungen oder Hashes allein sind schwach und können Variantenwechsel nicht tragen. Das folgende Modell ist bewusst eng, nicht engine-validiert und muss gegen legitime Administrations- und Softwarepfade getestet werden.

1title: Trigona encryption-impact candidate
2status: experimental
3logsource:
4  product: windows
5  category: file_event
6detection:
7  selection:
8    TargetFilename|endswith:
9      - '_locked'
10      - '_erased'
11  filter_legitimate:
12    Image|endswith: '\\backup-agent.exe'
13  condition: selection and not filter_legitimate
14falsepositives:
15  - Legitimate administrative or software activity with the same isolated pattern
16level: medium

Alternativhypothesen und Negativtests

Vor einer Familienzuordnung werden die im Modell verwendeten Einzelmerkmale getrennt gegen Softwareverteilung, Administratorwerkzeuge, Installer, Browser- oder Backupsoftware und bekannte interne Skripte geprüft. Mindestens ein struktureller Anker und eine zeitlich passende Verhaltenskette müssen zusammenpassen. Dies ist eine historische, quellengebundene Architekturprüfung. Der Extractor belegt keine Unterstützung aller Varianten; Erpressungs- oder Exfiltrationsbehauptungen werden nicht als unabhängig bestätigt übernommen. Ein negativer Gegencheck verwirft nur die geprüfte Hypothese; er ist keine allgemeine Entwarnung.

Attribution und Variantenrisiko

Dies ist eine historische, quellengebundene Architekturprüfung. Der Extractor belegt keine Unterstützung aller Varianten; Erpressungs- oder Exfiltrationsbehauptungen werden nicht als unabhängig bestätigt übernommen.

Abschließende Bewertung

Die Analyse liefert eine belastbare Architektur- und Detektionsgrundlage für den benannten Stand. Sie ist kein Beweis für aktuelle Aktivität, vollständige Variantenabdeckung oder einen bestimmten Betreiber.

Grenzen der Prüfung

• Keine unabhängige Sample-, Laufzeit-, C2- oder Kampagnenverifikation.
• Dies ist eine historische, quellengebundene Architekturprüfung. Der Extractor belegt keine Unterstützung aller Varianten; Erpressungs- oder Exfiltrationsbehauptungen werden nicht als unabhängig bestätigt übernommen.
• Defensive Modelle sind nicht mit einer Zielengine validiert.