Gentlemenランサムウェアエミュレーションの説明

SOC Prime Team

フォローする

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

ジェントルメンランサムウェアグループは2025年7月以来活動しており、ファイルの暗号化とデータの盗難やリークサイトでの恐喝を組み合わせた二重恐喝モデルを採用しています。このマルウェアはGoで書かれており、Windows、Linux、ESXi環境をサポートし、暗号化プロセス中にハードコードされたパスワード引数を使用します。運用者は広範な調査、グループポリシーオブジェクトの悪用、WinSCPのような合法的なツールを利用して、暗号化された形でデータを移動および流出させます。

調査

AttackIQは、複数のセキュリティベンダーによって説明された戦術、技術、および手順を再現するエミュレーションを発表しました。これには、最初のアクセス、持続性、防御回避、発見、横移動、影響が含まれます。エミュレーションには、スケジュールされたタスクの作成、レジストリRunキー、悪意のあるサービス、ファイアウォールルールの変更、ボリュームシャドウコピーの削除などの動作が含まれています。

緩和策

防御者は、疑わしいPowerShellアクティビティ、予期しないスケジュールタスクの作成、ヌルセッションおよびMicrosoft Defenderの除外に関連するレジストリの変更、SMBv1を有効にしようとする試みを監視する必要があります。ネットワークのセグメンテーションと最小特権アクセスコントロールは、グループが共有リソースを通じて横方向への移動を制限するのに役立ちます。

対応

ジェントルメン関連の活動が検出された場合は、すぐに影響を受けたシステムを隔離し、揮発性の証拠を収集し、ランサムウェアのサンプルと関連するレジストリアーティファクトを保持し、可能であればバックアップからシャドウコピーとイベントログを回復するためのインシデントレスポンス手続きを開始します。また、資格情報の盗難や環境内の横移動を特定するためのフォレンジック調査を完全に実施する必要があります。

graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#cccccc classDef builtin fill:#dddddd %% Action nodes act_system_info[“アクション – T1082 システム情報の探索 OSバージョン、ホスト名などの情報を収集”] class act_system_info action act_persistence[“アクション – 永続化”] class act_persistence action act_scheduled_task[“アクション – T1053.005 スケジュールタスク 起動時に実行されるタスクを作成”] class act_scheduled_task action act_registry_run[“アクション – T1547.001 レジストリ Run キー / スタートアップ HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run に追加”] class act_registry_run action act_windows_service[“アクション – T1543.003 Windowsサービス sc.exeで新しいサービスを作成”] class act_windows_service action act_defense_evasion[“アクション – 防御回避”] class act_defense_evasion action act_disable_defender[“アクション – T1562.001 セキュリティツールの無効化/変更 Windows Defenderのリアルタイム保護を無効化”] class act_disable_defender action act_add_exclusions[“アクション – T1562.001 セキュリティツールの無効化/変更 Set-MpPreferenceで除外設定を追加”] class act_add_exclusions action act_enable_firewall[“アクション – 制限なしネットワーク探索の有効化”] class act_enable_firewall action act_discovery[“アクション – 探索フェーズ”] class act_discovery action act_ad_domain[“アクション – T1482 ドメイン信頼の探索 Get-ADDomainでAD情報を取得”] class act_ad_domain action act_ad_computers[“アクション – T1018 リモートシステム探索 Get-ADComputerでドメイン内PCを列挙”] class act_ad_computers action act_wmi_info[“アクション – T1082 システム情報の探索 WMI経由で情報収集”] class act_wmi_info action act_file_enum[“アクション – T1083 ファイル・ディレクトリ探索 FindFirstFileW/FindNextFileWで列挙”] class act_file_enum action act_volume_disc[“アクション – T1680 ローカルストレージ探索 Win32_VolumeとGet-PSDriveでボリューム列挙”] class act_volume_disc action act_network_share[“アクション – T1049 ネットワーク共有探索 WNetOpenEnum/WNetEnumResourceで共有を列挙”] class act_network_share action act_lateral_movement[“アクション – ラテラルムーブメント”] class act_lateral_movement action act_create_share[“アクション – T1021 リモートサービス net shareで隠しSMB共有を作成”] class act_create_share action act_modify_acls[“アクション – T1222.001 権限グループ探索 icaclsで匿名フル権限付与”] class act_modify_acls action act_null_session[“アクション – T1556.009 アクセストークン操作 レジストリのNullSessionShares等を変更”] class act_null_session action act_copy_payload[“アクション – ランサムウェアペイロードをリモートへコピー”] class act_copy_payload action act_execute_wmi[“アクション – T1047 Windows Management Instrumentation WMI/WMICでリモート実行”] class act_execute_wmi action act_impact[“アクション – インパクトフェーズ”] class act_impact action act_delete_shadow[“アクション – T1490 システム復旧の阻害 vssadminとwmicでシャドウコピー削除”] class act_delete_shadow action act_clear_logs[“アクション – T1070.001 Windowsイベントログ削除 wevtutil.exeでログ削除”] class act_clear_logs action act_encrypt_files[“アクション – T1486 データ暗号化による影響 XChaCha20で暗号化しCurve25519で鍵保護”] class act_encrypt_files action %% Connections act_system_info –>|続く| act_persistence act_persistence –>|作成| act_scheduled_task act_persistence –>|作成| act_registry_run act_persistence –>|作成| act_windows_service act_persistence –>|続く| act_defense_evasion act_defense_evasion –>|使用| act_disable_defender act_defense_evasion –>|使用| act_add_exclusions act_defense_evasion –>|使用| act_enable_firewall act_defense_evasion –>|続く| act_discovery act_discovery –>|含む| act_ad_domain act_discovery –>|含む| act_ad_computers act_discovery –>|含む| act_wmi_info act_discovery –>|含む| act_file_enum act_discovery –>|含む| act_volume_disc act_discovery –>|含む| act_network_share act_discovery –>|続く| act_lateral_movement act_lateral_movement –>|作成| act_create_share act_lateral_movement –>|変更| act_modify_acls act_lateral_movement –>|変更| act_null_session act_lateral_movement –>|コピー| act_copy_payload act_lateral_movement –>|実行| act_execute_wmi act_execute_wmi –>|続く| act_impact act_impact –>|含む| act_delete_shadow act_impact –>|含む| act_clear_logs act_impact –>|含む| act_encrypt_files

アタックフロー

攻撃のナラティブとコマンド

ドメインに参加しているWindowsサーバーで低権限実行を得た攻撃者は、ランサムウェア展開の準備のために環境を整えたいと考えています。彼らはネイティブのPowerShellコマンドレットを使用して:

リアルタイム保護を無効にする (Set-MpPreference).
ファイアウォールポートを開く (Enable-NetFirewallRule).
追加のWindows機能を有効にする (Import-Module ServerManager + Enable-WindowsOptionalFeature).
ドメイン情報を抽出する (Get-ADDomain, Get-ADComputer).
システム詳細を列挙する (Get-WmiObject Win32_ComputerSystem, Get-PSDrive).
マルウェアのペイロードをリモート共有にコピーする (Copy-Item).

各ステップは、Sigmaルールが監視する文字列の1つを含み、必要なテレメトリを生成するように、個別のPowerShellプロセスで実行されます。 それぞれ プロセスには、Sigmaルールが対象としている1つの文字列が含まれており、したがって必要なテレメトリが生成されます。

回帰テストスクリプト

# -------------------------------------------------
# シミュレーションスクリプト - ジェントルメンランサムウェア検出ルールをトリガー
# -------------------------------------------------
# 注: これは本番環境ではない隔離されたWindowsホストで実行してください。

# 1. Windows Defenderのリアルタイムモニタリングを無効化
powershell.exe -Command "Set-MpPreference -DisableRealtimeMonitoring $true"

# 2. ファイアウォールルールを有効化 (例: インバウンドSMBを許可)
powershell.exe -Command "Enable-NetFirewallRule -DisplayGroup 'File and Printer Sharing'"

# 3. サーバーマネージャーモジュールをインストールし、Windows機能を有効化
powershell.exe -Command "Import-Module ServerManager; Enable-WindowsOptionalFeature -Online -FeatureName TelnetClient -NoRestart"

# 4. ADドメイン情報を列挙
powershell.exe -Command "Get-ADDomain | Out-Null"

# 5. ADコンピュータをリスト (発見)
powershell.exe -Command "Get-ADComputer -Filter * | Select-Object Name | Out-Null"

# 6. WMIでシステム詳細をクエリ
powershell.exe -Command "Get-WmiObject Win32_ComputerSystem | Out-Null"

# 7. 現在のPSドライブを表示
powershell.exe -Command "Get-PSDrive | Out-Null"

# 8. ラテラルムーブメントをシミュレートするためにダミーファイルをリモート共有にコピー
#    (REMOTE-SERVERShareをラボ内の到達可能なSMB共有に置き換えてください)
$dummy = "$env:TEMPdummy.txt"
"test" | Out-File -FilePath $dummy -Encoding ASCII
powershell.exe -Command "Copy-Item -Path '$dummy' -Destination '\REMOTE-SERVERSharedummy.txt'"

# ローカルのダミーファイルをクリーンアップ
Remove-Item $dummy -Force

クリーンアップコマンド

# -------------------------------------------------
# クリーンアップスクリプト - テスト前の状態にホストを復元
# -------------------------------------------------
# Windows Defenderのリアルタイム保護を再有効化
Set-MpPreference -DisableRealtimeMonitoring $false

# 上記で追加されたファイアウォールルールを無効化 (まだ存在する場合)
Disable-NetFirewallRule -DisplayGroup 'File and Printer Sharing'

# リモート共有からダミーファイルを削除 (書き込み権限が必要)
Remove-Item -Path 'REMOTE-SERVERSharedummy.txt' -Force -ErrorAction SilentlyContinue

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加