静かなる破壊者：Gentlemenが誇るEDRキラーフレームワークの全貌

ESETの研究者は、ランサムウェア・アズ・ア・サービス（RaaS）ギャングであるGentlemenが保有する強力なEDRキラーツールセットを分析しました。2026年初頭以降、Gentlemenはランサムウェアのエコシステムにおいて最も活発なギャングのひとつとして台頭しています。このグループが際立っているのは、オペレーターが自ら維持管理する成熟したエンドポイント検出・応答（EDR）キラー、つまりセキュリティソフトウェアを妨害するツール群を備えている点です。また、上位ランクのギャングの多くとは異なり、Gentlemenは米国を中心とした被害者層を持たず、東南アジア、南米、西欧に広く標的を分散させています。

ここ数カ月でGentlemenに関する複数のレポートが公開されていますが、グループのEDRキラーに踏み込んだ詳細分析を行ったものはありませんでした。ESETはインシデントレベルの継続的な可視性を持つため、Gentlemenが採用するEDRキラーの開発実態を独自の視点で深く掘り下げることができます。さらに、2026年5月にGentlemenが被った内部データの漏洩によって、グループの内部運営についてより詳しい知見が得られました。

今回の漏洩は、2026年2月に立てた仮説、すなわち「GentlemenのオペレーターはEDRキラーのポートフォリオを積極的に開発・維持し、アフィリエイトに提供している」という見解を裏付けるものでもありました。そのポートフォリオの中核となるのは、ESETが「GentleKiller」と命名した自社開発フレームワークです。また、HexKiller、ThrottleBlood、HavocKillerといったサードパーティ製または流出ツールも組み込まれています。これらのツールは、主にセキュリティベンダーを偽装する共通の防御回避レイヤーによって標準化されており、偽のバージョン情報やコピーされた正規の証明書・アイコンが使用されています。さらにGentlemenは、新たに公開されたBYOVD（Bring Your Own Vulnerable Driver）の概念実証コードを、公開後わずか数日で実戦投入できる驚異的な適応力を持っています。

本ブログ記事では、ESETの広範な調査と今回の漏洩によって裏付けられたGentlemenのEDRキラーに関する調査結果を共有します。EDRキラーパッケージと実際のサンプルを結び付け、漏洩データを戦術・技術・手順（TTPs）と照合することで、実践的な知見を提供することを目指しています。今回の調査結果は、Gentlemenが2026年において最も技術的に機敏なRaaSギャングのひとつであることを示しています。

本記事のポイント：

• GentlemenのオペレーターはEDRキラースイートを開発・維持し、アフィリエイトに直接提供しています。
• GentleKillerは、異なる脆弱または悪意のあるドライバーを悪用する少なくとも8つのバリアントを持つ自社開発フレームワークです。
• Gentlemenのオペレーターは、なりすましと保護を標準化した統一した回避戦略をツール全体に適用しています。
• サードパーティ製EDRキラー（HexKiller、ThrottleBlood、HavocKiller）が運用上統合されています。
• Gentlemenは、新たに公開されたEDRキラーの概念実証コード（PoC）に迅速に適応することができます。
• このギャングの被害者層はグローバルに分散しており、特に米国に集中していません。
• GentlemenはOxideHarvestも使用しており、これはグループのアフィリエイトのひとりが管理するクレデンシャルスティーラーです。

本記事全体を通じて、RaaSのオペレーターとアフィリエイトについて言及します。

オペレーターは、ランサムウェアのペイロード開発、復号鍵の管理、専用リークサイトの維持、被害者との身代金交渉、そのほかのツールやサービスの提供（月額料金または身代金の一定割合、通常5〜20%）を担当します。

アフィリエイトは、オペレーターからランサムウェアサービスを借り受け、被害者のネットワークに暗号化ツールを展開するとともに、データ窃取も担当します。

Gentlemenのプロフィール

Gentlemenは2025年後半にRaaS運営体として登場し、2026年第1四半期に観測された最も活発なランサムウェアギャングのひとつへと急成長しました。アフィリエイトには90%という高い収益配分を提供しています。Group-IBは、GentlemenがかつてのQilinアフィリエイトであり、不満を持ったhastalamuerteによって設立されたと公表しています。PRODAFTは2025年10月17日にXへの投稿で、GentlemenのオペレーターがかつてはQilin、Embargo、LockBit、Medusa、BlackLockのアフィリエイトであったことを明らかにしました。2026年6月10日には、Brian Krebsがhastalamuerteの本当の身元に関する証拠を公開しました。

Gentlemenは二重恐喝を採用しており、被害者のデータを暗号化するだけでなく、身代金が支払われない場合はデータを公開すると脅します。暗号化にあたっては、Windows、Linux、そのほかのプラットフォームを対象としたGo言語によるバリアントと、C言語で書かれたESXiバリアントをオペレーターが提供しています。

Gentlemenが際立っている点のひとつは、アフィリエイトに対して暗号化ツール以上のものを提供しようとするギャングの姿勢です。特にEDRキラーも提供しています。ESETの最近の調査によると、ほとんどのランサムウェア侵害では、信頼性の高いEDRキラーの調達責任はRaaSオペレーター自身ではなく、個々のアフィリエイトが担うのが一般的です。このモデルに対する例外が記録されているケースは少数に限られます。注目すべき事例のひとつはRansomHubであり、独自のEDRキラー「EDRKillShifter」をゼロから開発し、アフィリエイトパネルを通じてアフィリエイトに提供しています。

Gentlemenは、これとは異なり、これまでほとんど報告されていないアプローチを採っています。アフィリエイトが自らEDRキラーを調達するのではなく、Gentlemenのオペレーターがアフィリエイトのために積極的にEDRキラーのポートフォリオを開発・維持しています。このポートフォリオは、GentleKillerと命名した自社開発ツールと、外部から調達または流出したツールを組み合わせたものであり、共通の回避レイヤーによって標準化され、一貫した方法でステージングされています。

ESETの研究者は2026年2月の時点でGentleKillerが内部ツールであるという仮説を立てており、これは後にGroup-IBとCheck Pointのレポートによって裏付けられました。どちらのレポートも、Gentlemenのオペレーターが（審査済みの）アフィリエイトにEDR無効化機能を明示的に提供していると評価しています。最近漏洩したグループの内部データが最後の決定的な証拠となりました。漏洩データの中で、グループのリーダーでありhastalamuerteの別名を持つzeta88が、EDRキラーパッケージの維持と提供について公然と語っています。

GentleKillerに関する疑念を裏付けることに加え、漏洩データによって「OxideHarvest」と命名したクレデンシャルスティーラーをGentlemenに、具体的にはそのアフィリエイトのひとりに結び付けることができました。

被害者層

大規模なRaaS運営の被害者層は、オペレーター主導の戦略よりもアフィリエイトの選択によって形成されることが多いですが、それでも特定のパターンが浮かび上がる傾向があります。主要なランサムウェアギャングの多くは米国への強い継続的な集中を示しており、発表された被害者の約半数を米国が占めることが少なくありません。この米国中心の偏りはQilin、DragonForce、Akiraをはじめとする複数の著名なグループで顕著であり、上位ランクのランサムウェア運営における実質的な標準となっています。

Gentlemenはこのトレンドに対する顕著な例外といえます。2026年第1四半期に最も活発なランサムウェアギャングのトップ5に入るにもかかわらず、その被害者層は同様の米国への集中を示していません。代わりに、Gentlemenのアフィリエイトは東南アジア、南米、西欧など、地理的に多様な国々の被害者を一貫して標的にしており、タイ、ブラジル、フランスといった通常はあまり見られない国も標的に含まれています。

最近漏洩したデータは、被害者の選定においてGentlemenが中央集権的なアプローチを採用していることを示しています。有望な候補を選別してからアフィリエイトに配分しており、被害者の選定は地理的な場所よりも主にFortiGateの（誤った）設定に基づいて行われています。

EDRキラー

2026年2月、ESETはGentlemenのアフィリエイトが展開した未記録のEDRキラーを観測しました。このツールはGentlemenCollectionという名前のディレクトリにステージングされており、GentleKillerと命名しました。当時、アフィリエイト固有のツールではなくGentlemenのオペレーターがアフィリエイトに提供しているツールであると仮説を立てました。その後、調査した無関係な複数の侵害インシデントで同じステージングパターン（GentleKillerおよびそのほかのEDRキラーをGentlemenCollectionディレクトリに配置）が継続的に確認されており、いずれもGentlemenのアフィリエイトが関与していました。並行して、Group-IBとCheck Pointがそれぞれ独立して公開したレポートでも、GentlemenのオペレーターがRaaSプログラムの一環としてEDR無効化機能を明示的に提供していると評価しています。

これらの観測を総合すると、GentleKillerはGentlemenのオペレーターが維持するEDRキラースイートのコンポーネントであるという結論に至りました。この結論はグループの漏洩データによって後に確認されました。

GentleKillerのほかに、このスイートにはHexKiller、HavocKiller、ThrottleBloodも含まれています。これらはESETが命名したもので、ライバルギャングのアフィリエイトも使用するEDRキラーであり、Gentlemenが何らかの手段で入手したものです。また、複数の侵害インシデントでDemoKillerも確認されましたが、このEDRキラーはGentlemenとのつながりを示す証拠がないため、ギャングのスイートからは除外し、アフィリエイト固有のツールとみなしています。ブログ記事のこのセクションでは、これらのツールを詳しく取り上げ、より広いEDRキラーのエコシステムの中に位置づけます。これらのツールはGentlemenの侵害活動に運用上統合されていますが、GentleKillerのみがGentlemenのオペレーターによって内部開発されたもので、残りのEDRキラーは外部から調達し、その後改変・標準化されてオペレーターのツールセットに組み込まれたと高い確信を持って評価しています。この評価は以下の根拠に基づいています。

• GentleKillerが主にGentlemen関連の侵害インシデントで確認され、GentlemenCollectionディレクトリに展開されることが多い点、
• ソースコードへのアクセスが明確な継続的な開発が行われており、新しいバリアントの作成や新たに登場したPoCのサポートが可能な点、
• Gentlemenが信頼済みアフィリエイトにEDR無効化機能を提供しているというサードパーティのレポート。

防御回避戦略

GentlemenのオペレーターはギャングのさまざまなEDRキラーに特定の防御回避技術を適用しています。これらの技術はソースコードではなくコンパイル済みサンプルに適用されます。これにより、Gentlemenはソースコードを保有していないEDRキラーに対しても保護を適用することが可能になります。

Gentlemenのポートフォリオに含まれるEDRキラーはすべて以下の防御回避パターンに従っており、標準化された戦略を指しています。

• 高度なバイナリ保護（EnigmaまたはThemida）が、検出したサンプルの相当数に適用されています。ファイル名のサフィックスによって使用方法が示されることが多くあります（Enigma、Themida、またはなし）。
• ファイル名は、特にサイバーセキュリティ分野で事業を展開するよく知られたソフトウェアベンダーに酷似するように選ばれています。
• 実行ファイルは同一のベンダーまたは製品に合わせた以下の属性を持ち、ベンダーになりすましています。

一部のサンプルは開発プラクティスの不一致によりこのアプローチから逸脱していますが、観測されたEDRキラーの大多数はこのパターンに従っています。表1では、サフィックスの仕組みを示します。サフィックスがファイル名に追加される方法については、後のセクションで説明します。

表1. Gentlemenが維持するEDRキラーの命名パターン

GentleKiller

GentleKillerは、Gentlemenのエコシステムで観測された中でも群を抜いて最も多く確認されるEDRキラーです。執筆時点で、少なくとも8つの異なるバリアントが確認されており、それぞれ異なる正規製品を装い、異なる脆弱または悪意のあるドライバーを悪用しています。これらの表面上の違いにもかかわらず、内部特性の共通点が非常に多いことから、これらすべてのサンプルをGentleKillerとして分類しています。

なりすましレイヤーと使用されているドライバーを取り除いて内部のコードを見ると、共通の開発テンプレートを使用していることを強く示唆する多数の構造的・行動的共通点が明らかになります。このテンプレートは、最小限の修正のみでバリアント間で再利用されています。テンプレートの定義的な特徴は以下のとおりです。

• バリアント間で共通した文字列、
• 定期的にループでプロセスを終了させる処理、
• 広範なセキュリティソリューションを標的とすること、
• 同一のコード難読化技術の使用。

GentleKillerの出力例を図1に示し、コード難読化のコードスニペットを図2に示します。

この設計は、オペレーター側の開発コストを最小化しながら、アフィリエイトにとっての展開のしやすさと運用上の柔軟性を優先しています。これにより、GentlemenのオペレーターはEDRキラーのPoCが公開された直後に、悪用対象のドライバーをツールセットに統合することが可能になります。UnknownKillerとPoisonKillerはいずれもわずか数日で採用された事例として挙げられます。

ビルドによってはGentleKillerが認識するすべてのプロセスを標的にしないものもありますが、表2に示す一般的なセットは一貫しています。プロセス名を対応するベンダーにマッピングするためにAIを活用しており、多少の不一致がある可能性があります。全体として、GentleKillerはAIが48製品にマッピングした400以上のプロセスを標的にしています。

表2. GentleKillerが標的とするプロセス名の一覧と対応ベンダーのマッピング

GentleKillerのバリアント

GentleKillerの各バリアントは、異なる製品を装い、異なる悪意のあるまたは脆弱なドライバーを悪用します。表3に、これまでに確認された8つのGentleKillerバリアントの一覧を示します。<suffix>は表1で説明した命名パターンを指します。ドライバーのファイル名は、GentleKillerがディスクに書き込む際の名称を示しています。

表3. GentleKillerバリアントの一覧

サードパーティ製EDRキラー

内部開発のGentleKillerのほかに、Gentlemenは複数のサードパーティ製ソリューションをスイートに組み込んでいます。表4にその概要を示し、以降のセクションで詳しく説明します。<suffix>は表1で説明した命名パターンを指します。ドライバーのファイル名は、関連するEDRキラーがディスクに書き込む際の名称を示しています。

表4. Gentlemenが提供するサードパーティ製EDRキラーの一覧

HexKiller

HexKillerは、ESETがこれまでWarlockギャング専用のツールと評価していたEDRキラーです。そのため、Gentlemenの侵害インシデントでの登場は予想外であり、注目に値します。

HexKillerがGentlemenCollectionディレクトリ内でGentleKillerのバイナリと並んでステージングされているのを確認しました。ただし、GentlemenのインシデントにHexKillerが存在するだけでは、GentlemenとWarlockギャングの間に直接的な協力関係や運用上の重複があるとは言えません。Gentlemenのオペレーターが非公式な交換、二次流通チャネル、サンプルの漏洩などの間接的な手段によってHexKillerを入手した可能性は十分に考えられ、Warlockとの直接的な接触がなかったとしても不思議ではありません。そのため、これを両グループ間のより深い関係を示す証拠とは考えていません。

ThrottleBlood

このEDRキラーはMedusaLockerのアフィリエイトによる侵害インシデントで繰り返し観測されており、DragonForceのアフィリエイトによるインシデントでも散発的に確認されています。また、2025年9月にはTrend MicroによってさらにGentlemenにもThrottleBloodが関連付けられました。

現時点では、ThrottleBloodの出所を確定するのに十分な証拠はありません。ESETのテレメトリでは、複数のMedusaLocker侵害インシデントで目立って展開されており、DragonForce関連の活動でも散発的に確認されています。これらのインシデントは、ThrottleBlood自体の使用以外に運用上の重複はほとんど見られません。一つの考えられる説明としては、ThrottleBloodがアンダーグラウンドマーケットで商業的に流通しているか、あるいはMedusaLockerのオペレーターが開発してアフィリエイトに共有しており、そのアフィリエイトの一部がDragonForceとも関係を持っている可能性が挙げられます。

ただし、どちらの仮説もThrottleBloodのサンプルがGentlemenの手に渡った経緯を完全には説明できません。その結果、Gentlemenが本来意図されていた文脈を超えてツールが流出することで入手した可能性を排除することはできません。しかし、Gentlemenがこのツールを内部で開発したわけではないという点は高い確信を持って断言できます。

HavocKiller

HavocKillerはGentlemenのEDRキラーに最後に加わったツールです。このツールは2026年3月19日にHuntressによって公式に公開されましたが、ESETのテレメトリでは少なくとも2026年1月23日以降の実際の侵害インシデントでの使用が確認されており、公開報告より数週間前から運用されていたことが示されています。HavocKillerの目的に関するHuntressの評価も裏付けることができます。ESETが観測したすべてのケースで、HavocKillerの展開はランサムウェア関連の活動の一部でした。

技術的な特性に基づき、HavocKillerはGentlemenのオペレーター自身が開発したものではなく、外部から入手したものと評価しています。サンプルはGentlemenCollectionディレクトリにステージングされており、Gentlemenの標準的な防御回避技術が適用されていましたが、その実装はGentleKillerとは大きく異なります。これは、HavocKillerが運用上は適応されたサードパーティ製のEDRキラーであり、そのアーキテクチャがGentlemenのフレームワークには当てはまらないことを強く示唆しています。

OxideHarvest

また、Rustで書かれたクレデンシャルスティーラーであるOxideHarvestと名付けたツールの展開も複数確認しました。RustはGentlemenが好む言語ではないため、このツールをグループに帰属させることはしません。ただし、Check Pointが指摘しているように、Gentlemenのアフィリエイトであるquantがbuildx641と呼ばれるツールを管理しており、その命名と機能がOxideHarvestを直ちに想起させました。さらに調査を進めると、buildx641.exeという名前のOxideHarvestサンプルがVirusTotalにアップロードされているのを発見しました。buildx641とOxideHarvestは同一ツールであると結論付けています。

OxideHarvestはさまざまなパッカーに包まれており、バージョン情報やアイコンで正規ソフトウェアを装うことが多くあります（GentlemenがGentleKillerに対して行うものと類似していますが、全く同一ではありません）。保護されたペイロードは、シンプルで直接的なクレデンシャルスティーラーです。OxideHarvestが機能するには、ユーザーがコマンドラインオプションとしてホストのリスト（-i）、ユーザー名（-u）、パスワード（-p）、スレッド数（-t）、出力ファイル（-o）を指定する必要があります。ツールはその後、提供された認証情報を使用して指定されたホスト（改行区切りのテキストファイルとして渡されます）にログインし、マルチスレッドを使用して認証情報を指定の出力ファイルに窃取します。図3はOxideHarvestの–helpコマンドの結果を示し、表5はどの認証情報が対象となるかを定める設定を示しています。

表5. OxideHarvestに組み込まれた設定

{
    "chronium_browsers": [
        [
            "Google Chrome",
            "\\Google\\Chrome\\User Data",
            true
        ],
        [
            "Google Chrome Beta",
            "\\Google\\Chrome Beta\\User Data",
            true
        ],
        [
            "ChromeBeta",
            "\\Google\\Chrome SxS\\User Data",
            true
        ],
        [
            "Chromium",
            "\\Chromium\\User Data",
            true
        ],
        [
            "Microsoft Edge",
            "\\Microsoft\\Edge\\User Data",
            true
        ],
        [
            "Torch",
            "\\Torch\\User Data",
            true
        ],
        [
            "Comodo",
            "\\Comodo\\Dragon\\User Data",
            true
        ],
        [
            "Nichrome",
            "\\Nichrome\\User Data",
            true
        ],
        [
            "Maxthon5",
            "\\Maxthon5\\Users",
            true
        ],
        [
            "Epic Privacy Browser",
            "\\Epic Privacy Browser\\User Data",
            true
        ],
        [
            "Vivaldi",
            "\\Vivaldi\\User Data",
            true
        ],
        [
            "QIP",
            "\\QIP Surf\\User Data",
            true
        ],
        [
            "Cent",
            "\\CentBrowser\\User Data",
            true
        ],
        [
            "Elements",
            "\\Elements Browser\\User Data",
            true
        ],
        [
            "TorBro",
            "\\TorBro\\Profile",
            true
        ],
        [
            "CryptoTab",
            "\\CryptoTab Browser\\User Data",
            true
        ],
        [
            "Brave",
            "\\BraveSoftware\\Brave-Browser\\User Data",
            true
        ],
        [
            "Opera",
            "\\Opera Software\\Opera Stable\\",
            false
        ],
        [
            "OperaGX",
            "\\Opera Software\\Opera GX Stable\\",
            false
        ],
        [
            "Opera Neon",
            "\\Opera Software\\Opera Neon\\User Data",
            false
        ]
    ],
    "gecko_browsers": [
        [
            "Mozila Firefox",
            "\\Mozilla\\Firefox\\Profiles\\",
            false
        ],
        [
            "Slim",
            "\\FlashPeak\\SlimBrowser\\Profiles\\",
            false
        ],
        [
            "PaleMoon",
            "\\Moonchild Productions\\Pale Moon\\Profiles\\",
            false
        ],
        [
            "Waterfox",
            "\\Waterfox\\Profiles\\",
            false
        ],
        [
            "Cyberfox",
            "\\8pecxstudios\\Cyberfox\\Profiles\\",
            false
        ],
        [
            "BlackHawk",
            "\\NETGATE Technologies\\BlackHawk\\Profiles\\",
            false
        ],
        [
            "IceCat",
            "\\Mozilla\\icecat\\Profiles\\",
            false
        ],
        [
            "KMeleon",
            "\\K-Meleon\\",
            false
        ]
    ]
}

まとめ

Gentlemenはオペレーターが管理するEDRキラーをアフィリエイトがすぐに使える状態で提供するという、興味深いアプローチを実証しています。ほとんどのランサムウェアギャングがEDR無効化をアフィリエイトに委ねている中、Gentlemenはアフィリエイトにすぐに使える標準化されたEDRキラースイートを提供することでこの機能を集中管理することを選択しました。この決断により、Gentlemenはアフィリエイトにとって魅力的なオペレーターとなっており、参入障壁を実質的に下げ、アフィリエイトの作業をより容易にしています。

このモデルは、エコシステムに存在する数少ない既知の例外からも一線を画しています。RansomHubの場合、オペレーターは完全に内部で開発した単一のEDRキラー「EDRKillShifter」に投資しました。一方、Gentlemenは独自開発（GentleKiller）と迅速に適応したサードパーティまたは公開ツール（HexKiller、ThrottleBlood、HavocKiller）を組み合わせた多様なEDRキラーのポートフォリオを維持しています。これらのツール全体にわたる防御回避技術の一貫した適用は、サンプルを単独で観測した場合の帰属を難しくしています。

EDRキラー技術がアンダーグラウンドコミュニティで商品化され流通し続ける中、本記事はインシデントレベルでの調査・分析の必要性を改めて示しています。こうした文脈がなければ、GentlemenのEDRキラーは誤って帰属されるか、まったく帰属されないまま、このオペレーターの関与の真の範囲が隠蔽されてしまう可能性があります。Gentlemenの侵害活動に対する継続的な可視性のおかげで、最近漏洩したデータがギャングのEDRキラースイートに関するESETの高確信の仮説を裏付ける前に、グループの攻撃に対する防御を数カ月前から提供することができました。

GentleKillerフレームワークは、内部開発と外部研究の実用的な再利用の間での意図的なバランスを示しています。一部のコンポーネントには性急な実装や仕上がりの不統一さが見られますが、ツールセット全体として高い運用効果とGentlemenのランサムウェアワークフローへの緊密な統合を示しています。新たに公開されたBYOVDのPoCを数日以内に適応させるグループの能力は、その機敏さを改めて際立たせています。

防御の観点からは、GentleKillerの仕組みを理解することで、防御者はより効果的な防御戦略を設計し、今後Gentlemenが開発する新しいEDRキラーにも対応できるようになります。

WeLiveSecurityに掲載されている弊社の調査に関するお問い合わせは、[email protected]までご連絡ください。

ESET Researchはプライベートな脅威インテリジェンスレポートとデータフィードを提供しています。このサービスに関するお問い合わせは、ESET Threat Intelligenceページをご覧ください。

IoC（侵害の痕跡）

ファイル

MITRE ATT&CK技術

本表はMITRE ATT&CKフレームワークのバージョン19を使用して作成されました。