팔로우 
요약
The Gentlemen은 2025년 중반에 등장한 러시아어권 Ransomware-as-a-Service (RaaS) 그룹으로, 이전에는 LockBit 및 Qilin의 제휴사로 운영되었습니다. 이 그룹은 이중 협박 모델을 따르며, 피해자의 데이터를 암호화하고 전용 유출 사이트에 도난당한 정보를 게시하겠다고 위협합니다. Go 기반 랜섬웨어를 사용하여 Windows, Linux, NAS, BSD 환경을 대상으로 운영합니다.
조사
Acronis 연구원들은 The Gentlemen의 인프라 침해를 분석하여 내부 통신, 제휴사 정보, 도구 개발 관련 논의 내용을 노출했습니다. 기술 분석을 통해 보안 프로세스를 종료하는 취약 드라이버를 악용하는 맞춤형 EDR-킬링 드로퍼가 발견되었습니다. 연구원들은 그룹의 암호화 루틴, 지속성 방법, PsExec를 활용한 횡적 이동 활동도 파악했습니다.
완화
조직은 보안 도구 조작 및 비인가 드라이버 로딩을 식별할 수 있는 EDR/XDR 솔루션을 배포해야 합니다. 취약한 커널 드라이버의 악용을 줄이려면 운영 체제와 타사 드라이버를 항상 최신 상태로 유지하는 것이 중요합니다. PowerShell 사용을 제한하고, 격리된 상태에서 정기적으로 테스트된 백업을 유지하는 것도 강력히 권장됩니다.
대응
The Gentlemen의 활동이 감지되면 사건 대응자는 PsExec 또는 자동화된 전파를 통한 횡적 이동 방지를 위해 즉시 영향을 받은 시스템을 격리해야 합니다. 비인가된 예약 작업과 레지스트리 Run 키를 조사하여 지속성을 차단하십시오. GupdateS and GupdateU Windows 이벤트 로그 및 PowerShell 기록을 검토하여 아티팩트 제거 및 포렌식 회피의 증거를 찾으십시오.
공격 흐름
우리는 이 부분을 여전히 업데이트 중입니다.
탐지
가능한 지속성 포인트 [ASEPs – 소프트웨어/NTUSER 하이브] (via registry_event)
Sysinternals 도구 실행 후 HTTP 또는 SMB 통해 공식 웹사이트에서 (via cmdline)
의심스러운 Wevtutil 사용으로 인한 가능한 방어 회피 활동 (via cmdline)
지연 실행을 위한 가능한 PING 사용 (via cmdline)
의심스러운 VSSADMIN 활동 (via cmdline)
Powershell, CMD 또는 WMI를 통해 그림자 복사본 만들기 또는 삭제하기 (via cmdline)
Wmi Powershell 모듈을 사용하여 가능한 시스템 정보 검색 (via powershell)
Windows Defender 기본 설정 의심스러운 변경 (via powershell)
의심스러운 예약된 작업 (via audit)
탐지: The Gentlemen: 그리 젠틀하지 않은 랜섬웨어 서비스 운영을 자세히 살펴보기 위한 IOCs (HashSha256)
The Gentlemen 관련 랜섬웨어 활동 탐지 [Windows 프로세스 생성]
시뮬레이션 실행
-
공격 내러티브 및 명령: 적은 초기 접근을 얻고 환경을 “The Gentlemen” 그룹의 랜섬웨어 배포를 준비하고 있습니다. 최대 영향을 보장하고 방해를 방지하기 위해 공격자는 다음 명령 시리즈를 실행합니다: 1) 실행 중인 사용자 애플리케이션 종료, 2) 중요 서비스 중단, 3) 예약된 작업을 통한 지속성 메커니즘 생성, 4) 목표 디렉토리의 권한을 수정하여 암호화 프로세스에 대한 완전한 제어를 확보합니다. 이 시뮬레이션은 탐지 규칙의 정확한 문자열을 사용하여 규칙이 작동함을 확인합니다.
-
회귀 테스트 스크립트:
# The Gentlemen 랜섬웨어 탐지 규칙을 트리거하기 위한 시뮬레이션 스크립트 Write-Host "[+] 랜섬웨어 시뮬레이션 시작..." -ForegroundColor Cyan # 1. 선택1 및 선택2 (프로세스 종료) Write-Host "[+] Taskkill 탐지 트리거 중..." -ForegroundColor Yellow Start-Process "taskkill.exe" -ArgumentList "/F /IM explorer.exe" -Wait # 2. 선택3 트리거 (서비스 중단) Write-Host "[+] Net Stop 탐지 트리거 중..." -ForegroundColor Yellow Start-Process "net.exe" -ArgumentList "stop Spooler" -Wait # 3. 선택4 트리거 (지속성) Write-Host "[+] Schtasks 탐지 트리거 중..." -ForegroundColor Yellow Start-Process "schtasks.exe" -ArgumentList "/Create /TN UpdateSystem /TR 'calc.exe' /SC ONCE /ST 00:00" -Wait # 4. 선택5 트리거 (권한 변경) Write-Host "[+] Icacls 탐지 트리거 중..." -ForegroundColor Yellow New-Item -Path "$env:TEMPRansomSim" -ItemType Directory -Force | Out-Null Start-Process "icacls.exe" -ArgumentList "$env:TEMPRansomSim /grant:r everyone:F" -Wait Write-Host "[+] 시뮬레이션 완료." -ForegroundColor Green -
정리 명령:
# 시뮬레이션 동안 생성된 아티팩트를 제거하기 위한 정리 스크립트 Write-Host "[+] 시뮬레이션 아티팩트 정리 중..." -ForegroundColor Cyan schtasks /Delete /TN UpdateSystem /F Remove-Item -Path "$env:TEMPRansomSim" -Recurse -Force Write-Host "[+] 정리 완료." -ForegroundColor Green
