ジェントルマンランサムウェア: ランサムウェア・アズ・ア・サービス作戦の内部

概要

The Gentlemenは、LockBitやQilinのアフィリエイトとして活動した後、2025年中頃に台頭したロシア語話者のRansomware-as-a-Service (RaaS)グループです。このグループはダブルエクストーションモデルを取り入れており、被害者のデータを暗号化し、専用のリークサイトで盗まれた情報を公開する脅威を与えます。運用はGoベースのランサムウェアを使用し、Windows、Linux、NAS、BSD環境を標的にしています。

調査

Acronisの研究者は、The Gentlemenのインフラの侵害を分析し、内部コミュニケーション、アフィリエイト情報、ツール開発に関連する議論を露呈しました。技術的分析により、脆弱なドライバーを悪用してセキュリティプロセスを終了させるカスタムEDRキラー・ドロッパーが明らかになりました。研究者はまた、グループの暗号化ルーチン、永続性の手法、PsExecを含む横方向の移動活動をマッピングしました。

緩和策

組織は、セキュリティツールの改ざんと未承認のドライバーのロードを識別できるEDR/XDRのソリューションを配備するべきです。脆弱なカーネルドライバーの悪用を減少させるためには、オペレーティングシステムとサードパーティドライバーを完全に更新することが重要です。PowerShellの使用制限や、隔離された定期的なバックアップの維持も強く推奨されます。

対応策

The Gentlemenの活動が検出された場合、インシデントレスポンダーは、PsExecや自動拡散による横方向の移動を防ぐために、直ちに影響を受けたシステムを孤立させるべきです。未承認のタスクスケジュールとレジストリRunキーを調査し、 GupdateS and GupdateU などの永続性を妨げる必要があります。アーティファクトの削除とフォレンジック回避の証拠を探すために、WindowsイベントログとPowerShell履歴を確認してください。

シミュレーション実行

• 攻撃の記述とコマンド: 攻撃者は初期アクセスを獲得し、「The Gentlemen」グループによるランサムウェアの展開に備えて環境を準備しています。最大の影響を保証し、干渉を防ぐために、攻撃者は以下の一連のコマンドを実行します: 1) 実行中のすべてのユーザーアプリケーションを終了する、2) 重要なサービスを停止する、3) タスクスケジュールを介して永続性メカニズムを作成する、4) 暗号化プロセスが完全に制御できるようにターゲットディレクトリの権限を変更する。このシミュレーションは、検出ルールを検証するために、検出ルールで指定された正確な文字列を使用します。

• リグレッションテストスクリプト:

  # The Gentlemen Ransomware検出ルールをトリガーするためのシミュレーションスクリプト
  Write-Host "[+] ランサムウェアシミュレーションを開始..." -ForegroundColor Cyan
  
  # 1. トリガーselection1 & selection2 (プロセス終了)
  Write-Host "[+] Taskkill検出をトリガー中..." -ForegroundColor Yellow
  Start-Process "taskkill.exe" -ArgumentList "/F /IM explorer.exe" -Wait
  
  # 2. トリガーselection3 (サービス停止)
  Write-Host "[+] Net Stop検出をトリガー中..." -ForegroundColor Yellow
  Start-Process "net.exe" -ArgumentList "stop Spooler" -Wait
  
  # 3. トリガーselection4 (永続性)
  Write-Host "[+] Schtasks検出をトリガー中..." -ForegroundColor Yellow
  Start-Process "schtasks.exe" -ArgumentList "/Create /TN UpdateSystem /TR 'calc.exe' /SC ONCE /ST 00:00" -Wait
  
  # 4. トリガーselection5 (権限変更)
  Write-Host "[+] Icacls検出をトリガー中..." -ForegroundColor Yellow
  New-Item -Path "$env:TEMPRansomSim" -ItemType Directory -Force | Out-Null
  Start-Process "icacls.exe" -ArgumentList "$env:TEMPRansomSim /grant:r everyone:F" -Wait
  
  Write-Host "[+] シミュレーション完了。" -ForegroundColor Green

• クリーンアップコマンド:

  # シミュレーション中に作成されたアーティファクトを削除するためのクリーンアップスクリプト
  Write-Host "[+] シミュレーションアーティファクトをクリーンアップ中..." -ForegroundColor Cyan
  schtasks /Delete /TN UpdateSystem /F
  Remove-Item -Path "$env:TEMPRansomSim" -Recurse -Force
  Write-Host "[+] クリーンアップ完了。" -ForegroundColor Green