젠틀맨 랜섬웨어 에뮬레이션 설명

요약

The Gentlemen 랜섬웨어 그룹은 2025년 7월부터 활동을 시작했으며, 파일 암호화에 데이터 탈취 및 유출 사이트 공갈을 결합한 이중 공갈 모델을 따릅니다. 이 악성코드는 Go로 작성되었으며, Windows, Linux, ESXi 환경을 지원하며, 암호화 과정에서 하드코딩된 암호 인수를 사용합니다. 운영자는 또한 광범위한 조사, 그룹 정책 개체 남용, WinSCP와 같은 합법적인 도구를 이용해 데이터를 암호화된 형태로 이동 및 유출시킵니다.

조사

AttackIQ는 여러 보안 공급업체가 설명한 초기 접근, 지속성, 방어 회피, 발견, 측면 이동 및 영향을 포함하는 전술, 기술 및 절차를 재현하는 시뮬레이션을 발표했습니다. 이 시뮬레이션에는 예약된 작업 생성, 레지스트리 실행 키, 악성 서비스, 방화벽 규칙 변경 및 볼륨 섀도 복사본 삭제와 같은 행동이 포함됩니다.

완화

방어자는 의심스러운 PowerShell 활동, 예기치 않은 예약된 작업 생성, null 세션 및 Microsoft Defender 제외 항목과 관련된 레지스트리 변경 및 SMBv1 활성화 시도에 주의해야 합니다. 네트워크 세분화와 최소 권한 액세스 제어는 서로 공유 자원을 통해 그룹의 측면 이동 능력을 제한하는 데 기여할 수 있습니다.

대응

Gentlemen 관련 활동이 감지되면, 영향을 받은 시스템을 즉시 격리하고 휘발성 증거를 수집하며, 랜섬웨어 샘플 및 관련 레지스트리 아티팩트를 보존하고 가능한 경우 백업에서 섀도 복사본 및 이벤트 로그를 복구하기 위한 사고 대응 절차를 시작해야 합니다. 환경 전반에 걸쳐 자격 증명 탈취 및 측면 이동을 식별하기 위한 전체 포렌식 조사가 또한 수행되어야 합니다.

시뮬레이션 실행

전제 조건: 텔레메트리 & 기준선 비행 전 점검이 통과했어야 합니다.

이유: 이 섹션은 탐지 규칙을 트리거하기 위해 설계된 적의 기술(TTP)의 정확한 실행을 설명합니다. 명령과 서사는 식별된 TTP를 직접 반영하고 탐지 로직에 의해 예상되는 정확한 텔레메트리를 생성하려고 합니다.

공격 서사 및 명령어

도메인에 조인된 Windows 서버에 대한 낮은 권한 실행 권한을 얻은 적은 랜섬웨어 배포를 위한 환경 준비를 원합니다. 이들은 기본 PowerShell cmdlet을 사용하여:

1. 실시간 보호 비활성화 (Set-MpPreference).
2. 방화벽 포트 개방 (Enable-NetFirewallRule).
3. 추가 Windows 기능 활성화 (Import-Module ServerManager + Enable-WindowsOptionalFeature).
4. 도메인 정보 수집 (Get-ADDomain, Get-ADComputer).
5. 시스템 세부 정보 열거 (Get-WmiObject Win32_ComputerSystem, Get-PSDrive).
6. 악성 페이로드를 원격 공유에 복사 (Copy-Item).

각 단계는 별도의 PowerShell 프로세스에서 실행되어 각각의 프로세스가 Sigma 규칙이 감시하는 문자열 중 하나를 포함하여 필수 텔레메트리를 생성하도록 보장합니다.

회귀 테스트 스크립트

# -------------------------------------------------
# 시뮬레이션 스크립트 – The Gentlemen 랜섬웨어 탐지 규칙을 트리거
# -------------------------------------------------
# 주의: 이는 비생산, 격리된 Windows 호스트에서 실행하십시오.

# 1. Windows Defender 실시간 모니터링 비활성화
powershell.exe -Command "Set-MpPreference -DisableRealtimeMonitoring $true"

# 2. 방화벽 규칙 활성화 (예: SMB 수신 허용)
powershell.exe -Command "Enable-NetFirewallRule -DisplayGroup 'File and Printer Sharing'"

# 3. 서버 관리자 모듈 설치 및 Windows 기능 활성화
powershell.exe -Command "Import-Module ServerManager; Enable-WindowsOptionalFeature -Online -FeatureName TelnetClient -NoRestart"

# 4. AD 도메인 정보 열거
powershell.exe -Command "Get-ADDomain | Out-Null"

# 5. AD 컴퓨터 목록 (발견)
powershell.exe -Command "Get-ADComputer -Filter * | Select-Object Name | Out-Null"

# 6. 시스템 세부 정보에 대해 WMI 쿼리
powershell.exe -Command "Get-WmiObject Win32_ComputerSystem | Out-Null"

# 7. 현재 PS 드라이브 보기
powershell.exe -Command "Get-PSDrive | Out-Null"

# 8. 측면 이동을 시뮬레이션하기 위해 원격 공유에 더미 파일 복사
#    (실험실 내에서 접근 가능한 SMB 공유로 REMOTE-SERVERShare를 대체하세요)
$dummy = "$env:TEMPdummy.txt"
"test" | Out-File -FilePath $dummy -Encoding ASCII
powershell.exe -Command "Copy-Item -Path '$dummy' -Destination '\REMOTE-SERVERSharedummy.txt'"

# 로컬에서 더미 파일 정리
Remove-Item $dummy -Force

정리 명령

# -------------------------------------------------
# 정리 스크립트 – 테스트 이전 상태로 호스트 복원
# -------------------------------------------------
# Windows Defender 실시간 보호 다시 활성화
Set-MpPreference -DisableRealtimeMonitoring $false

# 위에서 추가한 방화벽 규칙 비활성화 (아직 존재하는 경우)
Disable-NetFirewallRule -DisplayGroup 'File and Printer Sharing'

# 원격 공유에서 더미 파일 제거 (쓰기 권한 필요)
Remove-Item -Path 'REMOTE-SERVERSharedummy.txt' -Force -ErrorAction SilentlyContinue