Gentlemen Ransomware-Emulation erklärt

Zusammenfassung

Die Gentlemen-Ransomware-Gruppe ist seit Juli 2025 aktiv und folgt einem Doppel-Erpressungsmodell, das Dateiverschlüsselung mit Datendiebstahl und Erpressung durch Leak-Sites kombiniert. Die Malware ist in Go geschrieben, unterstützt Windows-, Linux- und ESXi-Umgebungen und verwendet ein fest codiertes Passwortargument während des Verschlüsselungsprozesses. Die Betreiber verlassen sich auch auf umfangreiche Aufklärung, missbrauchen Gruppenrichtlinienobjekte und verwenden legitime Werkzeuge wie WinSCP, um Daten in verschlüsselter Form zu bewegen und zu exfiltrieren.

Untersuchung

AttackIQ hat eine Emulation veröffentlicht, die das von mehreren Sicherheitsanbietern beschriebene Taktiken-, Techniken- und Verfahren-Schema nachbildet, das den anfänglichen Zugriff, die Persistenz, die Umgehung der Verteidigung, die Entdeckung, die seitliche Bewegung und den Einfluss umfasst. Die Emulation beinhaltet Verhaltensweisen wie die Erstellung geplanter Aufgaben, Registry-Run-Schlüssel, bösartige Dienste, Firewall-Regeländerungen und das Löschen von Volumenschattenkopien.

Minderung

Verteidiger sollten auf verdächtige PowerShell-Aktivitäten, unerwartete Erstellung geplanter Aufgaben, Registry-Änderungen im Zusammenhang mit Null-Sitzungen und Microsoft Defender-Ausschlüssen sowie Versuche zur Aktivierung von SMBv1 achten. Netzwerksegmentierung und Zugriffskontrollen mit minimalen Rechten können helfen, die Fähigkeit der Gruppe, sich durch gemeinsam genutzte Ressourcen seitlich zu bewegen, einzuschränken.

Reaktion

Wenn eine Aktivität im Zusammenhang mit Gentlemen erkannt wird, isolieren Sie sofort das betroffene System, sammeln Sie flüchtige Beweise, bewahren Sie das Ransomware-Beispiel und zugehörige Registry-Artefakte auf und beginnen Sie mit den Vorfallsreaktionsverfahren, um, sofern möglich, Schattenkopien und Ereignisprotokolle aus Backups wiederherzustellen. Eine vollständige forensische Untersuchung sollte ebenfalls durchgeführt werden, um den Anmeldeinformationsdiebstahl und mögliche laterale Bewegungen im gesamten Umfeld zu identifizieren.

Ausführung der Simulation

Voraussetzung: Der Telemetrie- & Basislinienvorprüflichtcheck muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die zur Auslösung der Erkennungsregel ausgeführt wird. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

Angriffserzählung und Befehle

Ein Angreifer, der niedrig privilegierte Ausführungen auf einem domänenverknüpften Windows-Server erlangt hat, möchte die Umgebung für den Ransomware-Einsatz vorbereiten. Sie verwenden native PowerShell-Cmdlets, um:

1. Echtzeitschutz deaktivieren (Set-MpPreference).
2. Firewall-Ports öffnen (Enable-NetFirewallRule).
3. Zusätzliche Windows-Funktionen aktivieren (Import-Modul-Servermanager + Enable-WindowsOptionalFeature).
4. Domäneninformationen ernten (Get-ADDomain, Get-ADComputer).
5. Systemdetails auflisten (Get-WmiObject Win32_ComputerSystem, Get-PSDrive).
6. Bösartige Payloads auf einen Remote-Share kopieren (Copy-Item).

Jeder Schritt wird in einem separaten PowerShell-Prozess ausgeführt, um sicherzustellen, dass die Befehlszeile von jedem Prozess einen der Strings enthält, die die Sigma-Regel überwacht, um so die erforderliche Telemetrie zu erzeugen.

Regressionstestskript

# -------------------------------------------------
# Simulationsskript – löst die Erkennungsregel der Gentlemen-Ransomware aus
# -------------------------------------------------
# HINWEIS: Führen Sie dies auf einem isolierten Windows-Host außerhalb der Produktion aus.

# 1. Deaktivieren der Echtzeitüberwachung von Windows Defender
powershell.exe -Command "Set-MpPreference -DisableRealtimeMonitoring $true"

# 2. Eine Firewallregel aktivieren (z. B. eingehendes SMB zulassen)
powershell.exe -Command "Enable-NetFirewallRule -DisplayGroup 'Datei- und Druckerfreigabe'"

# 3. Server Manager-Modul installieren und ein Windows-Feature aktivieren
powershell.exe -Command "Import-Module ServerManager; Enable-WindowsOptionalFeature -Online -FeatureName TelnetClient -NoRestart"

# 4. AD-Domäneninformationen auflisten
powershell.exe -Command "Get-ADDomain | Out-Null"

# 5. AD-Computer auflisten (Erkennung)
powershell.exe -Command "Get-ADComputer -Filter * | Select-Object Name | Out-Null"

# 6. WMI für Systemdetails abfragen
powershell.exe -Command "Get-WmiObject Win32_ComputerSystem | Out-Null"

# 7. Aktuelle PS-Laufwerke anzeigen
powershell.exe -Command "Get-PSDrive | Out-Null"

# 8. Eine Dummy-Datei zu einem Remote-Share kopieren, um die seitliche Bewegung zu simulieren
#    (Ersetzen Sie \REMOTE-SERVERShare durch ein erreichbares SMB-Share in Ihrem Labor)
$dummy = "$env:TEMPdummy.txt"
"test" | Out-File -FilePath $dummy -Encoding ASCII
powershell.exe -Command "Copy-Item -Path '$dummy' -Destination '\REMOTE-SERVERSharedummy.txt'"

# Dummy-Datei lokal bereinigen
Remove-Item $dummy -Force

Bereinigungskommandos

# -------------------------------------------------
# Bereinigungsskript – stellt den Host in den Zustand vor dem Test wieder her
# -------------------------------------------------
# Echtzeitschutz von Windows Defender wieder aktivieren
Set-MpPreference -DisableRealtimeMonitoring $false

# Die oben hinzugefügte Firewallregel deaktivieren (sofern noch vorhanden)
Disable-NetFirewallRule -DisplayGroup 'Datei- und Druckerfreigabe'

# Die Dummy-Datei vom Remote-Share entfernen (erfordert Schreibberechtigungen)
Remove-Item -Path 'REMOTE-SERVERSharedummy.txt' -Force -ErrorAction SilentlyContinue