Gentlemen Ransomware-Emulation erklärt

SOC Prime Team

Folgen

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Die Gentlemen-Ransomware-Gruppe ist seit Juli 2025 aktiv und folgt einem Doppel-Erpressungsmodell, das Dateiverschlüsselung mit Datendiebstahl und Erpressung durch Leak-Sites kombiniert. Die Malware ist in Go geschrieben, unterstützt Windows-, Linux- und ESXi-Umgebungen und verwendet ein fest codiertes Passwortargument während des Verschlüsselungsprozesses. Die Betreiber verlassen sich auch auf umfangreiche Aufklärung, missbrauchen Gruppenrichtlinienobjekte und verwenden legitime Werkzeuge wie WinSCP, um Daten in verschlüsselter Form zu bewegen und zu exfiltrieren.

Untersuchung

AttackIQ hat eine Emulation veröffentlicht, die das von mehreren Sicherheitsanbietern beschriebene Taktiken-, Techniken- und Verfahren-Schema nachbildet, das den anfänglichen Zugriff, die Persistenz, die Umgehung der Verteidigung, die Entdeckung, die seitliche Bewegung und den Einfluss umfasst. Die Emulation beinhaltet Verhaltensweisen wie die Erstellung geplanter Aufgaben, Registry-Run-Schlüssel, bösartige Dienste, Firewall-Regeländerungen und das Löschen von Volumenschattenkopien.

Minderung

Verteidiger sollten auf verdächtige PowerShell-Aktivitäten, unerwartete Erstellung geplanter Aufgaben, Registry-Änderungen im Zusammenhang mit Null-Sitzungen und Microsoft Defender-Ausschlüssen sowie Versuche zur Aktivierung von SMBv1 achten. Netzwerksegmentierung und Zugriffskontrollen mit minimalen Rechten können helfen, die Fähigkeit der Gruppe, sich durch gemeinsam genutzte Ressourcen seitlich zu bewegen, einzuschränken.

Reaktion

Wenn eine Aktivität im Zusammenhang mit Gentlemen erkannt wird, isolieren Sie sofort das betroffene System, sammeln Sie flüchtige Beweise, bewahren Sie das Ransomware-Beispiel und zugehörige Registry-Artefakte auf und beginnen Sie mit den Vorfallsreaktionsverfahren, um, sofern möglich, Schattenkopien und Ereignisprotokolle aus Backups wiederherzustellen. Eine vollständige forensische Untersuchung sollte ebenfalls durchgeführt werden, um den Anmeldeinformationsdiebstahl und mögliche laterale Bewegungen im gesamten Umfeld zu identifizieren.

graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#cccccc classDef builtin fill:#dddddd %% Action nodes act_system_info[„Aktion – T1082 Systeminformationen entdecken Betriebssystemversion, Hostname und weitere Systemdetails sammeln“] class act_system_info action act_persistence[„Aktion – Persistenz“] class act_persistence action act_scheduled_task[„Aktion – T1053.005 Geplante Aufgabe Aufgabe erstellen, die beim Start ausgeführt wird“] class act_scheduled_task action act_registry_run[„Aktion – T1547.001 Registry Run Keys / Autostart Run-Key unter HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run hinzufügen“] class act_registry_run action act_windows_service[„Aktion – T1543.003 Windows-Dienst Neuen Dienst über sc.exe erstellen“] class act_windows_service action act_defense_evasion[„Aktion – Abwehrumgehung“] class act_defense_evasion action act_disable_defender[„Aktion – T1562.001 Sicherheitswerkzeuge deaktivieren/ändern Windows Defender Echtzeitschutz deaktivieren“] class act_disable_defender action act_add_exclusions[„Aktion – T1562.001 Sicherheitswerkzeuge deaktivieren/ändern Prozess- und Verzeichnisausnahmen via Set-MpPreference hinzufügen“] class act_add_exclusions action act_enable_firewall[„Aktion – Uneingeschränkte Netzwerkerkennung aktivieren“] class act_enable_firewall action act_discovery[„Aktion – Aufklärungsphase“] class act_discovery action act_ad_domain[„Aktion – T1482 Domänenvertrauensentdeckung AD-Domäneninformationen mit Get-ADDomain abrufen“] class act_ad_domain action act_ad_computers[„Aktion – T1018 Remote-Systementdeckung Domänencomputer mit Get-ADComputer auflisten“] class act_ad_computers action act_wmi_info[„Aktion – T1082 Systeminformationen entdecken Systemdaten über WMI sammeln“] class act_wmi_info action act_file_enum[„Aktion – T1083 Datei- und Verzeichnisentdeckung Dateien mit FindFirstFileW/FindNextFileW auflisten“] class act_file_enum action act_volume_disc[„Aktion – T1680 Lokale Speicherentdeckung Volumes mit Win32_Volume und Get-PSDrive auflisten“] class act_volume_disc action act_network_share[„Aktion – T1049 Netzfreigabenentdeckung Freigaben mit WNetOpenEnum/WNetEnumResource entdecken“] class act_network_share action act_lateral_movement[„Aktion – Laterale Bewegung“] class act_lateral_movement action act_create_share[„Aktion – T1021 Remote-Dienste Versteckte SMB-Freigabe mit net share erstellen“] class act_create_share action act_modify_acls[„Aktion – T1222.001 Berechtigungsgruppenentdeckung Anonyme Vollrechte mit icacls setzen“] class act_modify_acls action act_null_session[„Aktion – T1556.009 Zugriffstoken-Manipulation Registry-Werte für NullSessionShares und Anonymzugriff ändern“] class act_null_session action act_copy_payload[„Aktion – Ransomware-Payload auf entfernten Host kopieren“] class act_copy_payload action act_execute_wmi[„Aktion – T1047 Windows Management Instrumentation Remote-Ausführung über WMI/WMIC“] class act_execute_wmi action act_impact[„Aktion – Impact-Phase“] class act_impact action act_delete_shadow[„Aktion – T1490 Systemwiederherstellung verhindern Shadow Copies mit vssadmin und wmic löschen“] class act_delete_shadow action act_clear_logs[„Aktion – T1070.001 Windows-Ereignisprotokolle löschen Logs mit wevtutil.exe löschen“] class act_clear_logs action act_encrypt_files[„Aktion – T1486 Datenverschlüsselung für Impact Dateien mit XChaCha20 verschlüsseln und Schlüssel mit Curve25519 schützen“] class act_encrypt_files action %% Connections act_system_info –>|führt zu| act_persistence act_persistence –>|erstellt| act_scheduled_task act_persistence –>|erstellt| act_registry_run act_persistence –>|erstellt| act_windows_service act_persistence –>|führt zu| act_defense_evasion act_defense_evasion –>|nutzt| act_disable_defender act_defense_evasion –>|nutzt| act_add_exclusions act_defense_evasion –>|nutzt| act_enable_firewall act_defense_evasion –>|führt zu| act_discovery act_discovery –>|enthält| act_ad_domain act_discovery –>|enthält| act_ad_computers act_discovery –>|enthält| act_wmi_info act_discovery –>|enthält| act_file_enum act_discovery –>|enthält| act_volume_disc act_discovery –>|enthält| act_network_share act_discovery –>|führt zu| act_lateral_movement act_lateral_movement –>|erstellt| act_create_share act_lateral_movement –>|ändert| act_modify_acls act_lateral_movement –>|ändert| act_null_session act_lateral_movement –>|kopiert| act_copy_payload act_lateral_movement –>|führt aus| act_execute_wmi act_execute_wmi –>|führt zu| act_impact act_impact –>|enthält| act_delete_shadow act_impact –>|enthält| act_clear_logs act_impact –>|enthält| act_encrypt_files

Angriffsfluss

Angriffserzählung und Befehle

Ein Angreifer, der niedrig privilegierte Ausführungen auf einem domänenverknüpften Windows-Server erlangt hat, möchte die Umgebung für den Ransomware-Einsatz vorbereiten. Sie verwenden native PowerShell-Cmdlets, um:

Echtzeitschutz deaktivieren (Set-MpPreference).
Firewall-Ports öffnen (Enable-NetFirewallRule).
Zusätzliche Windows-Funktionen aktivieren (Import-Modul-Servermanager + Enable-WindowsOptionalFeature).
Domäneninformationen ernten (Get-ADDomain, Get-ADComputer).
Systemdetails auflisten (Get-WmiObject Win32_ComputerSystem, Get-PSDrive).
Bösartige Payloads auf einen Remote-Share kopieren (Copy-Item).

Jeder Schritt wird in einem separaten PowerShell-Prozess ausgeführt, um sicherzustellen, dass die Befehlszeile von jedem Prozess einen der Strings enthält, die die Sigma-Regel überwacht, um so die erforderliche Telemetrie zu erzeugen.

Regressionstestskript

# -------------------------------------------------
# Simulationsskript – löst die Erkennungsregel der Gentlemen-Ransomware aus
# -------------------------------------------------
# HINWEIS: Führen Sie dies auf einem isolierten Windows-Host außerhalb der Produktion aus.

# 1. Deaktivieren der Echtzeitüberwachung von Windows Defender
powershell.exe -Command "Set-MpPreference -DisableRealtimeMonitoring $true"

# 2. Eine Firewallregel aktivieren (z. B. eingehendes SMB zulassen)
powershell.exe -Command "Enable-NetFirewallRule -DisplayGroup 'Datei- und Druckerfreigabe'"

# 3. Server Manager-Modul installieren und ein Windows-Feature aktivieren
powershell.exe -Command "Import-Module ServerManager; Enable-WindowsOptionalFeature -Online -FeatureName TelnetClient -NoRestart"

# 4. AD-Domäneninformationen auflisten
powershell.exe -Command "Get-ADDomain | Out-Null"

# 5. AD-Computer auflisten (Erkennung)
powershell.exe -Command "Get-ADComputer -Filter * | Select-Object Name | Out-Null"

# 6. WMI für Systemdetails abfragen
powershell.exe -Command "Get-WmiObject Win32_ComputerSystem | Out-Null"

# 7. Aktuelle PS-Laufwerke anzeigen
powershell.exe -Command "Get-PSDrive | Out-Null"

# 8. Eine Dummy-Datei zu einem Remote-Share kopieren, um die seitliche Bewegung zu simulieren
#    (Ersetzen Sie \REMOTE-SERVERShare durch ein erreichbares SMB-Share in Ihrem Labor)
$dummy = "$env:TEMPdummy.txt"
"test" | Out-File -FilePath $dummy -Encoding ASCII
powershell.exe -Command "Copy-Item -Path '$dummy' -Destination '\REMOTE-SERVERSharedummy.txt'"

# Dummy-Datei lokal bereinigen
Remove-Item $dummy -Force

Bereinigungskommandos

# -------------------------------------------------
# Bereinigungsskript – stellt den Host in den Zustand vor dem Test wieder her
# -------------------------------------------------
# Echtzeitschutz von Windows Defender wieder aktivieren
Set-MpPreference -DisableRealtimeMonitoring $false

# Die oben hinzugefügte Firewallregel deaktivieren (sofern noch vorhanden)
Disable-NetFirewallRule -DisplayGroup 'Datei- und Druckerfreigabe'

# Die Dummy-Datei vom Remote-Share entfernen (erfordert Schreibberechtigungen)
Remove-Item -Path 'REMOTE-SERVERSharedummy.txt' -Force -ErrorAction SilentlyContinue

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten