Explication de l’émulation du ransomware Gentlemen

SOC Prime Team

Suivre

Explication de l’émulation du ransomware Gentlemen

Detection stack

AIDR
Alert
ETL
Query

Rapport
Flux d'Attaque
Détections
Simulations

Résumé

Le groupe de ransomware Gentlemen est actif depuis juillet 2025 et suit un modèle de double extorsion, combinant le chiffrement de fichiers avec le vol de données et l’extorsion via un site de fuite. Le malware est écrit en Go, supporte les environnements Windows, Linux et ESXi, et utilise un argument de mot de passe codé en dur pendant le processus de chiffrement. Les opérateurs s’appuient également sur la reconnaissance large, l’abus des objets de stratégie de groupe, et des outils légitimes tels que WinSCP pour déplacer et exfiltrer des données sous forme chiffrée.

Enquête

AttackIQ a publié une émulation qui recrée les tactiques, techniques et procédures décrites par plusieurs fournisseurs de sécurité, couvrant l’accès initial, la persistance, l’évasion de la défense, la découverte, le mouvement latéral et l’impact. L’émulation comprend des comportements tels que la création de tâches planifiées, de clés de registre Run, de services malveillants, des modifications de règles du pare-feu, et la suppression des copies de volume shadow.

Atténuation

Les défenseurs doivent surveiller l’activité PowerShell suspecte, la création inattendue de tâches planifiées, les modifications de registre liées aux sessions nulles et aux exclusions de Microsoft Defender, et les tentatives d’activation de SMBv1. La segmentation réseau et les contrôles d’accès au moindre privilège peuvent aider à limiter la capacité du groupe à se déplacer latéralement à travers les ressources partagées.

Réponse

Si une activité liée à Gentlemen est détectée, isolez immédiatement le système affecté, collectez les preuves volatiles, préservez l’échantillon de ransomware et les artefacts de registre associés, et commencez les procédures de réponse aux incidents pour récupérer les copies shadow et les journaux d’événements depuis les sauvegardes si possible. Une enquête judiciaire complète doit également être effectuée pour identifier le vol d’identifiants et tout mouvement latéral dans l’environnement.

graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#cccccc classDef builtin fill:#dddddd %% Action nodes act_system_info[« Action – T1082 Découverte des informations système Collecte de la version OS, du nom d’hôte et d’autres détails système »] class act_system_info action act_persistence[« Action – Persistance »] class act_persistence action act_scheduled_task[« Action – T1053.005 Tâche planifiée Création d’une tâche exécutée au démarrage »] class act_scheduled_task action act_registry_run[« Action – T1547.001 Clés Run du registre / démarrage Ajout d’une clé Run dans HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run »] class act_registry_run action act_windows_service[« Action – T1543.003 Service Windows Création d’un nouveau service via sc.exe »] class act_windows_service action act_defense_evasion[« Action – Évasion des défenses »] class act_defense_evasion action act_disable_defender[« Action – T1562.001 Désactiver ou modifier les outils Désactivation de la protection en temps réel de Windows Defender »] class act_disable_defender action act_add_exclusions[« Action – T1562.001 Désactiver ou modifier les outils Ajout d’exclusions via Set-MpPreference »] class act_add_exclusions action act_enable_firewall[« Action – Activation de la découverte réseau sans restriction »] class act_enable_firewall action act_discovery[« Action – Phase de reconnaissance »] class act_discovery action act_ad_domain[« Action – T1482 Découverte des relations de confiance de domaine Récupération des informations AD avec Get-ADDomain »] class act_ad_domain action act_ad_computers[« Action – T1018 Découverte des systèmes distants Énumération des machines du domaine avec Get-ADComputer »] class act_ad_computers action act_wmi_info[« Action – T1082 Informations système Collecte de données via WMI »] class act_wmi_info action act_file_enum[« Action – T1083 Découverte fichiers et répertoires Énumération via FindFirstFileW/FindNextFileW »] class act_file_enum action act_volume_disc[« Action – T1680 Découverte du stockage local Énumération des volumes via Win32_Volume et Get-PSDrive »] class act_volume_disc action act_network_share[« Action – T1049 Découverte des partages réseau Découverte des partages via WNetOpenEnum/WNetEnumResource »] class act_network_share action act_lateral_movement[« Action – Mouvement latéral »] class act_lateral_movement action act_create_share[« Action – T1021 Services distants Création d’un partage SMB caché avec net share »] class act_create_share action act_modify_acls[« Action – T1222.001 Découverte des groupes de permissions Attribution de droits anonymes complets via icacls »] class act_modify_acls action act_null_session[« Action – T1556.009 Manipulation de jetons d’accès Modification des clés NullSessionShares et paramètres anonymes »] class act_null_session action act_copy_payload[« Action – Copie de la charge utile ransomware sur un hôte distant »] class act_copy_payload action act_execute_wmi[« Action – T1047 Windows Management Instrumentation Exécution à distance via WMI/WMIC »] class act_execute_wmi action act_impact[« Action – Phase d’impact »] class act_impact action act_delete_shadow[« Action – T1490 Empêcher la restauration système Suppression des copies shadow avec vssadmin et wmic »] class act_delete_shadow action act_clear_logs[« Action – T1070.001 Suppression des journaux Windows Effacement des logs avec wevtutil.exe »] class act_clear_logs action act_encrypt_files[« Action – T1486 Chiffrement des données pour impact Chiffrement des fichiers avec XChaCha20 et protection des clés avec Curve25519 »] class act_encrypt_files action %% Connections act_system_info –>|conduit à| act_persistence act_persistence –>|crée| act_scheduled_task act_persistence –>|crée| act_registry_run act_persistence –>|crée| act_windows_service act_persistence –>|conduit à| act_defense_evasion act_defense_evasion –>|utilise| act_disable_defender act_defense_evasion –>|utilise| act_add_exclusions act_defense_evasion –>|utilise| act_enable_firewall act_defense_evasion –>|conduit à| act_discovery act_discovery –>|inclut| act_ad_domain act_discovery –>|inclut| act_ad_computers act_discovery –>|inclut| act_wmi_info act_discovery –>|inclut| act_file_enum act_discovery –>|inclut| act_volume_disc act_discovery –>|inclut| act_network_share act_discovery –>|conduit à| act_lateral_movement act_lateral_movement –>|crée| act_create_share act_lateral_movement –>|modifie| act_modify_acls act_lateral_movement –>|modifie| act_null_session act_lateral_movement –>|copie| act_copy_payload act_lateral_movement –>|exécute| act_execute_wmi act_execute_wmi –>|conduit à| act_impact act_impact –>|inclut| act_delete_shadow act_impact –>|inclut| act_clear_logs act_impact –>|inclut| act_encrypt_files

Flux d’Attaque

Narration & Commandes d’Attaque

Un adversaire qui a obtenu l’exécution à faible privilège sur un serveur Windows joint à un domaine souhaite préparer l’environnement pour le déploiement du ransomware. Ils utilisent des applets de commande PowerShell natives pour :

Désactiver la protection en temps réel (Set-MpPreference).
Ouvrir les ports du pare-feu (Enable-NetFirewallRule).
Activer des fonctionnalités Windows supplémentaires (Import-Module ServerManager + Enable-WindowsOptionalFeature).
Récolter des informations de domaine (Get-ADDomain, Get-ADComputer).
Énumérer les détails du système (Get-WmiObject Win32_ComputerSystem, Get-PSDrive).
Copier des charges utiles malveillantes vers un partage distant (Copy-Item).

Chaque étape est exécutée dans un processus PowerShell séparé pour s’assurer que la ligne de commande de chaque processus contient l’une des chaînes que la règle Sigma surveille, générant ainsi la télémétrie requise.

Script de Test de Régression

# -------------------------------------------------
# Script de simulation – Déclenche la règle de détection du ransomware Gentlemen
# -------------------------------------------------
# REMARQUE : Exécutez ceci sur un hôte Windows non‑production, isolé.

# 1. Désactiver la Surveillance en Temps Réel de Windows Defender
powershell.exe -Command "Set-MpPreference -DisableRealtimeMonitoring $true"

# 2. Activer une règle de pare-feu (par ex., autoriser SMB entrant)
powershell.exe -Command "Enable-NetFirewallRule -DisplayGroup 'File and Printer Sharing'"

# 3. Installer le module Server Manager et activer une fonctionnalité Windows
powershell.exe -Command "Import-Module ServerManager; Enable-WindowsOptionalFeature -Online -FeatureName TelnetClient -NoRestart"

# 4. Énumérer les informations de domaine Active Directory
powershell.exe -Command "Get-ADDomain | Out-Null"

# 5. Lister les ordinateurs Active Directory (découverte)
powershell.exe -Command "Get-ADComputer -Filter * | Select-Object Name | Out-Null"

# 6. Interroger WMI pour obtenir les détails du système
powershell.exe -Command "Get-WmiObject Win32_ComputerSystem | Out-Null"

# 7. Afficher les lecteurs PS actuels
powershell.exe -Command "Get-PSDrive | Out-Null"

# 8. Copier un fichier factice vers un partage distant pour simuler le mouvement latéral
#    (Remplacez REMOTE-SERVERShare par un partage SMB accessible dans votre labo)
$dummy = "$env:TEMPdummy.txt"
"test" | Out-File -FilePath $dummy -Encoding ASCII
powershell.exe -Command "Copy-Item -Path '$dummy' -Destination '\REMOTE-SERVERSharedummy.txt'"

# Nettoyage du fichier factice localement
Remove-Item $dummy -Force

Commandes de Nettoyage

# -------------------------------------------------
# Script de nettoyage – Restitue l'hôte à son état antérieur au test
# -------------------------------------------------
# Réactiver la protection en temps réel de Windows Defender
Set-MpPreference -DisableRealtimeMonitoring $false

# Désactiver la règle de pare-feu ajoutée ci-dessus (si toujours présente)
Disable-NetFirewallRule -DisplayGroup 'File and Printer Sharing'

# Retirer le fichier factice du partage distant (nécessite une permission d'écriture)
Remove-Item -Path 'REMOTE-SERVERSharedummy.txt' -Force -ErrorAction SilentlyContinue

Rejoignez la plateforme Detection as Code de SOC Prime pour améliorer la visibilité sur les menaces les plus pertinentes pour votre entreprise. Pour vous aider à démarrer et à générer une valeur immédiate, planifiez dès maintenant une réunion avec des experts de SOC Prime.

Rejoindre gratuitement