「The Gentlemen」ランサムウェアが侵入から24時間以内に暗号化 — GOLD SHERWOODのアフィリエイト手順書をSophos CTUが解明

SophosのCounter Threat Unit（CTU、サイバー脅威の調査部門）は2026年9月初旬、ランサムウェア・アズ・ア・サービス（RaaS、ランサムウェアの貸し出し型犯罪ビジネス）「The Gentlemen」を運営する攻撃者「GOLD SHERWOOD」の攻撃手順を公表した。侵入から権限昇格、データ窃取、防御無効化、暗号化に至る一連の流れはアフィリエイト（提携犯）向けに定型化され、被害組織内での滞在期間の中央値は約2日、最短では24時間を切っていた。同社はこの侵入群を「日和見的な初期侵入と迅速な権限昇格、正規のリモートアクセス機構の悪用、信頼できるシステムパスへのツール配置、標的を絞ったデータ窃取、積極的な防御回避、バックアップ破壊、ランサムウェア展開を組み合わせた、再現性のあるアフィリエイトの手順書」と総括している。

GOLD SHERWOODは、The Gentlemenの運営グループを指す調査会社による呼称だ。Sophosが確認したところでは、同グループは2025年半ばに二重恐喝型（データを盗んで身代金を要求した上で暗号化する方式）のRaaSとして活動を始め、同年9月に被害者名を公表するリークサイトを開設した。2026年に入って被害名の公表は急増し、7月には月間最多水準に達したと報じられている。

侵入口は盗んだVPN認証情報と公開された管理画面

アフィリエイトの初期侵入は、多くの場合ネットワークの境界（社内と社外の境目）を狙う。盗んだVPNの認証情報や、インターネットに公開されたファイアウォールの管理画面が主な侵入口だ。

2026年2月の侵入事例では、攻撃者が有効な認証情報を使ってFortinet製SSL VPNにログインした。当該アカウントに多要素認証（MFA）が設定されていなかったため、ログインは成功したという。サードパーティの報告では、同グループとFortiGateの脆弱性CVE-2024-55591との関連も指摘されているという。

組織内に侵入した攻撃者は、リモートデスクトップ（RDP）で横展開し、盗んだドメイン認証情報を再利用してファイルサーバーやドメインコントローラーに到達した。VPNへの繰り返しログインでアクセスも維持していた。

信頼できるフォルダへの潜伏と資格情報の収集

攻撃者はツールを C:\PerfLogs といった信頼できるシステムフォルダに配置する。このフォルダは性能ログを置く場所で、普段は監視の目が届きにくい。配置されるのはスキャナーや窃取ツール、EDRキラー（後述）だ。

続いて攻撃者はAdvanced IP ScannerやSoftPerfect Network Scannerで組織内ネットワークを把握し、Mimikatzなどのツールで認証情報を収集する。権限昇格のため不正なアカウントを管理者グループに追加したり、高権限アカウントのパスワードを書き換えたりする。ある事例では、防御側を締め出すために2件の管理者パスワードを変更していた。

攻撃者は侵入後の足場維持（パーシステンス）の手段も複数確保する。ある侵入では、攻撃者がCloudflareのトンネル用ソフトCloudflaredをWindowsサービスとして導入し、VPNとは別の隠し通信路を作っていた。別の事例では、レジストリやファイアウォール設定の変更でRDPを再有効化していた。

データ窃取は道具を持ち替える適応型

The Gentlemenは二重恐喝型で、アフィリエイトは暗号化の前に必ずデータを盗む。窃取の主力はRcloneで、5件の侵入で確認された。状況に応じてResticやMinIO Clientに持ち替える。Sophosは、決まった台本ではなく適応型の運用だと指摘する。ある侵入では、攻撃者がRcloneで窃取を始め、25分後にResticへ、さらにMinIO Clientへと切り替え、ファイルの更新日時で絞り込んで量を抑え、静かにデータを運び出した。盗んだデータは被害者ごとに名付けた攻撃者管理のクラウドストレージへ送られたという。

防御回避の中核「GentleKiller」

防御回避はこの作戦の中核だ。アフィリエイトは、ESETの研究者が「GentleKiller」と名付けた専用のEDRキラー群を使う。脆弱なドライバーを持ち込むBYOVD（Bring Your Own Vulnerable Driver）方式でセキュリティ製品を無力化するもので、ESETは少なくとも8亜種が48社のセキュリティ製品の400超のプロセスを標的にしていることを確認した。多くの犯罪集団がEDRキラーを借り物で済ませる中、The Gentlemenは自前で開発・保守している点が特徴だ。

Microsoft Defenderの弱体化も並行して行う。PowerShellのスキャン除外を追加する手口や、レジストリ設定でリアルタイム保護を無効化する手口が確認されている。暗号化の前にはVeeamやSQL Writer、Backup Execといったバックアップ関連サービスを停止する。CTUは200超のバリエーションのサービス停止コマンドを確認した。

実行役はGOLD SHERWOODが提供するGo言語製の独自ロッカーで、Windows版のほかLinux版やESXi版も用意されている。CTUが主に目撃したのはWindows版で、身代金要求メモ README-GENTLEMEN.txt が影響を受けた全フォルダに置かれた。

Sophosが推奨する対策

Sophosはこの手順書を断ち切る対策として、すべてのVPNとリモートアクセスにMFAを適用すること、インターネットに面したファイアウォールとVPN機器を速やかに更新することを推奨している。あわせて C:\PerfLogs などからの不審な実行、新規の管理者グループ追加や高権限パスワードの変更、Rclone・Restic・FileZilla・MinIO Clientといった窃取ツールの出現、バックアップ基盤へのサービス変更、ログ消去やDefender除外、ドライバー悪用による改ざんの兆候を監視するよう呼びかけている。

VPNの認証情報窃取から24時間で暗号化に至る速度は、検知から初動対応までの猶予が極めて短いことを意味する。境界の認証強化と、EDR停止・バックアップ停止といった「暗号化の前触れ」への検知を優先順位の上位に置きたい。

出典

• Sophos Counter Threat Unit, “Ungentlemanly behavior: Insights into a ransomware operation”: https://www.sophos.com/en-us/blog/ungentlemanly-behavior-insights-into-a-ransomware-operation
• ESET Research, “Killing me gently: Inside Gentlemen’s EDR killer framework”: https://www.welivesecurity.com/en/eset-research/killing-me-gently-inside-gentlemens-edr-killer-framework/