B
今週中
ランサムウェア・アズ・ア・サービス（RaaS）グループ「The Gentlemen」が、セキュリティソフトを無効化するツール「GentleKiller」を運用し…
📌 一言でいうと
ランサムウェア・アズ・ア・サービス（RaaS）グループ「The Gentlemen」が、セキュリティソフトを無効化するツール「GentleKiller」を運用していることが判明しました。このツールはBYOVD（Bring Your Own Vulnerable Driver）手法を用い、脆弱なドライバをロードしてEDRなどのエンドポイントセキュリティを強制停止させます。主に東南アジア、南米、西欧を標的としており、すでに500以上の被害が確認されています。
🔍該当判定
- 東南アジア、南米、西欧の地域に拠点がある、またはこれらの地域の顧客と取引がある
- PCのセキュリティ対策としてEDR（エンドポイント検知・対応）製品を導入している
- 社内PCでKasperskyなどのセキュリティソフトや、ゲームの不正防止ソフト（アンチチート）を利用している
- Windows PCにおいて、管理者権限で外部から提供されたドライバーソフトをインストールした記憶がある
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. ドライバ署名の強制（Driver Signature Enforcement）を有効にし、未承認のドライバロードを制限する。2. EDRの自己保護機能（Tamper Protection）を有効化し、プロセスの強制終了を防止する。3. 不審なドライバのロードやセキュリティソフトの予期せぬ停止を検知する監視体制を構築する。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】ランサムウェアグループ「The Gentlemen」によるBYOVD攻撃について
お疲れさまです。ランサムウェアグループ「The Gentlemen」が使用するセキュリティ回避ツールに関する情報共有です。
■ 概要
攻撃者は「GentleKiller」というツールを用い、BYOVD (Bring Your Own Vulnerable Driver) 手法で脆弱なドライバをロードし、EDR等のセキュリティ製品を強制的に停止させます。その後、ランサムウェアを配備する流れとなります。
■ 影響範囲
- Windows環境（特にEDR等のエンドポイントセキュリティを導入している組織）
- 主な標的地域：東南アジア、南米、西欧
■ 対応手順
1. EDR/アンチウイルスの「自己保護機能（Tamper Protection）」が有効であることを確認してください。
2. OSのドライバ署名強制設定を確認し、未知のドライバロードを制限してください。
3. セキュリティソフトのプロセスが予期せず停止した際の警告アラートを監視してください。
■ 参考情報
- ESETレポート（via thaicert）
対応優先度: 高
対応期限: 速やかに確認
お疲れさまです。ランサムウェアグループ「The Gentlemen」が使用するセキュリティ回避ツールに関する情報共有です。
■ 概要
攻撃者は「GentleKiller」というツールを用い、BYOVD (Bring Your Own Vulnerable Driver) 手法で脆弱なドライバをロードし、EDR等のセキュリティ製品を強制的に停止させます。その後、ランサムウェアを配備する流れとなります。
■ 影響範囲
- Windows環境（特にEDR等のエンドポイントセキュリティを導入している組織）
- 主な標的地域：東南アジア、南米、西欧
■ 対応手順
1. EDR/アンチウイルスの「自己保護機能（Tamper Protection）」が有効であることを確認してください。
2. OSのドライバ署名強制設定を確認し、未知のドライバロードを制限してください。
3. セキュリティソフトのプロセスが予期せず停止した際の警告アラートを監視してください。
■ 参考情報
- ESETレポート（via thaicert）
対応優先度: 高
対応期限: 速やかに確認
Subject: [Intel] BYOVD Attack by Ransomware Group 'The Gentlemen'
Dear Team,
We are sharing intelligence regarding a security evasion tool used by the ransomware group 'The Gentlemen'.
■ Overview
The group utilizes a tool called 'GentleKiller' which employs the Bring Your Own Vulnerable Driver (BYOVD) technique. This allows them to load vulnerable drivers to bypass detection and forcibly terminate EDR and other security processes before deploying ransomware.
■ Scope
- Windows environments utilizing endpoint security solutions.
- Primary targets: Southeast Asia, South America, and Western Europe.
■ Recommended Actions
1. Ensure that 'Tamper Protection' is enabled on all EDR/AV agents.
2. Verify that Driver Signature Enforcement is active to restrict the loading of unauthorized drivers.
3. Monitor for alerts indicating the unexpected termination of security software processes.
■ Reference
- ESET Report (via thaicert)
Priority: High
Deadline: Immediate review
Dear Team,
We are sharing intelligence regarding a security evasion tool used by the ransomware group 'The Gentlemen'.
■ Overview
The group utilizes a tool called 'GentleKiller' which employs the Bring Your Own Vulnerable Driver (BYOVD) technique. This allows them to load vulnerable drivers to bypass detection and forcibly terminate EDR and other security processes before deploying ransomware.
■ Scope
- Windows environments utilizing endpoint security solutions.
- Primary targets: Southeast Asia, South America, and Western Europe.
■ Recommended Actions
1. Ensure that 'Tamper Protection' is enabled on all EDR/AV agents.
2. Verify that Driver Signature Enforcement is active to restrict the loading of unauthorized drivers.
3. Monitor for alerts indicating the unexpected termination of security software processes.
■ Reference
- ESET Report (via thaicert)
Priority: High
Deadline: Immediate review