「EDRを入れたから、もうエンドポイントは大丈夫」。そう考えていた現場ほど、今回の話は一度立ち止まって読んでほしい内容です。攻撃者は、EDR（Endpoint Detection and Response＝端末上の不審な挙動を検知して対応する仕組み）が動いていることを前提に、それ自体を「殺してから」侵入を進める道具を磨いてきているからです。
2026年6月18日、セキュリティ企業ESETの研究チームが、ランサムウェア集団「The Gentlemen」が運用するEDR無効化ツール群の調査結果を公開しました。中核となるツールは「GentleKiller」と呼ばれ、400を超えるセキュリティ関連プロセスを停止対象に持ち、CrowdStrikeやSentinelOne、Microsoft Defenderといった主要なEDR製品を無効化しようとします。守りの主役であるEDRが、攻撃の初期段階で狙い撃ちされる時代に入った、と捉えるべき事案です。
この記事では、GentleKillerが何をするツールなのかを一次情報から整理し、攻撃者がどうやってEDRを無効化するのかを攻撃者視点で解き明かします。そのうえで、「EDRが無効化される前提」に立った対抗防御――タンパープロテクション（改ざん耐性）、改ざん検知、そして多層化――をSOC（セキュリティ監視を担うチームや組織）・情シスが設計するための考え方を、現場で使えるレベルで整理します。攻撃の手口を取り上げるのは、あくまで防御のためです。敵がどこを狙うかを知らなければ、守る順番も決められません。不安を煽るためではなく、落ち着いて優先順位をつけるために読み解いていきましょう。
GentleKillerとは何をするツールなのか
まず事実関係を一次情報ベースで整理します。GentleKillerは、ランサムウェアをサービスとして提供するRaaS（Ransomware as a Service）集団「The Gentlemen」が自前で開発・運用しているEDR無効化フレームワークです。ESETの調査によれば、少なくとも8種類のバリアント（変種）が存在し、それぞれが別々の正規製品になりすまし、別々の脆弱なドライバを悪用するよう作られています。
停止対象として組み込まれているのは、400を超えるセキュリティ関連プロセスで、48種類のセキュリティ製品にまたがります。報道では、対象にCrowdStrike、SentinelOne、Microsoft Defender、Sophos、Carbon Black、さらにESET自身まで含まれていたとされています。つまり、特定の一製品を狙ったものではなく、「現場で広く使われているEDRを片端から黙らせる」ことを目的に作られた汎用的な無効化ツールだという点が、この事案の重さを物語っています。
なぜRaaS集団がここまで手の込んだ無効化ツールを自前で持つのか。背景には、ランサムウェア攻撃の「分業化」があります。RaaSでは、ツールを開発する側と、それを使って実際に侵入・暗号化を行う実行犯（アフィリエイト）が分かれています。GentleKillerのような「EDRを確実に黙らせる部品」を整えておけば、技術力にばらつきのある実行犯でも、守りの強い企業に対して安定して攻撃を成功させられます。攻撃の品質を底上げする「共通基盤」として、EDR無効化ツールが磨かれているわけです。守る側から見れば、相手は素人ではなく、再利用可能な部品を組み合わせて効率的に攻めてくる組織だと捉える必要があります。
もう一つ押さえておきたいのが、The Gentlemenの「即応性」です。ESETの報告では、公開されたばかりのBYOVD（後述）の実証コード（PoC）を、数日のうちに自分たちのツールへ取り込んでいたことが指摘されています。新しい攻撃手法が世に出ると、防御側がパッチや検知ルールを整える前に、攻撃側が先に武器化してしまう。この速度感が、EDR無効化を「いつか起きるかもしれない話」ではなく「すでに現実の脅威」にしています。さらに、8種類のバリアントがそれぞれ別の正規製品になりすまし、別のドライバを使う作りになっている点も見逃せません。一つのバリアントの特徴を覚えて検知ルールを書いても、別のバリアントには通用しにくい。攻撃側は「検知される前提で、複数の見た目を用意しておく」という発想で設計しているのです。
攻撃者はどうやってEDRを「殺す」のか――BYOVDの仕組み
GentleKillerの中核にある手法が、BYOVD（Bring Your Own Vulnerable Driver＝脆弱なドライバを自分で持ち込む）です。防御を組み立てる材料として、攻撃者の視点で順に見ていきます。
1. 正規署名された「弱いドライバ」を持ち込む
Windowsでは、カーネル（OSの中核）で動くドライバは、原則として正規の署名がないと読み込めません。攻撃者はこのルールを逆手に取ります。世の中には、署名は正規でありながら設計上の欠陥を抱えたドライバが存在します。攻撃者はそうしたドライバを自分で標的環境に持ち込み、署名チェックを正規にパスさせてカーネルに読み込ませます。これがBYOVDの入り口です。
2. カーネル権限でセキュリティプロセスを止める
いったん脆弱なドライバがカーネルで動き出すと、攻撃者はその欠陥を踏み台にして、カーネルレベルの権限を手にします。EDRをはじめとするセキュリティソフトは、通常ユーザーモード（一般的な権限の世界）で動く部分を守る作りになっていますが、攻撃者はその一段下、カーネルから直接プロセスを終了させにきます。守りの番人が、自分より上位の権限で背後から電源を切られる――そんなイメージです。ユーザーモードの保護だけでは、この攻撃を止めきれません。
3. 正規製品になりすまして気づかれにくくする
GentleKillerの各バリアントは、別々の正規セキュリティ製品になりすますよう作られています。これは検知の網をくぐるための工夫です。見た目が「よく知られた正規ツール」に近いほど、運用者やアラートの目をすり抜けやすくなります。攻撃者の立場で考えれば、目立たずにEDRを無効化できれば、その後のランサムウェア展開を妨げる「監視の目」を事前に潰せるわけです。
ここで重要なのは、BYOVDは「EDRそのものの欠陥を突く攻撃」ではない、という点です。狙われているのはOSのドライバ署名の仕組みと、第三者製の脆弱なドライバです。だからこそ、対策も「EDRを過信しない」ところから始める必要があります。
PR
ランサムウェア対策 実践ガイド（Compass Booksシリーズ）
攻撃のフェーズごとに「何が起き、どう備えるか」が整理された一冊です。EDR無効化を含む侵入後の動きを理解し、検知と対応の設計を見直したい情シス・SOC担当の方の土台になります。
「EDRが無効化される前提」に立った対抗防御
GentleKillerのような攻撃に対して、「もっと強いEDRを入れる」だけでは足りません。EDRが止められることを前提に、止められても気づける・被害を広げない構えを作るのが本筋です。ここでは三つの軸で整理します。
1. EDRのタンパープロテクション（改ざん耐性）を有効にする
多くのEDR製品には、自分自身を勝手に停止・アンインストール・改ざんされないようにする「タンパープロテクション」機能が用意されています。まずはこれが有効になっているかを確認してください。管理者であっても解除に追加の認証や管理コンソール側の操作を必要とする設定にしておくと、攻撃者がローカルでEDRを無効化しようとした際のハードルが上がります。完全に防げるわけではありませんが、攻撃の手数を増やし、時間を稼ぐ価値があります。
2. 脆弱なドライバの読み込みをブロックする
BYOVDの入り口は「脆弱な正規ドライバの読み込み」です。ここを塞ぐ仕組みが、Windowsの脆弱ドライバブロックリスト（Microsoft Vulnerable Driver Blocklist）です。既知の悪用される脆弱なドライバの読み込みをOSレベルで拒否する機能で、有効化と最新化が対策の柱になります。加えて、より踏み込める環境ではWDAC（Windows Defender Application Control）などでドライバの許可リストを運用し、「知らないドライバは原則読み込ませない」方針に寄せていくと、BYOVD全般への耐性が上がります。
3. 改ざん検知と多層化で「沈黙」に気づく
EDRが無効化される攻撃の怖さは、「守りが消えたこと自体に気づけない」点にあります。だからこそ、EDRの外側からその健全性を見張る仕組みが要ります。具体的には、EDRエージェントのプロセスやサービスが停止していないか、定期的なハートビート（生存確認）が途切れていないかを、別系統の監視（SIEM＝各種ログを集約し相関分析する仕組みや、資産管理ツール）で見ます。「いつも来ているはずのEDRのログが、ある端末から急に止まった」――この沈黙こそが、最も雄弁な侵害のサインです。エンドポイント・ネットワーク・ログの三層で冗長に見ることで、一層が黙らされても残りで気づける構えになります。
4. ネットワーク分割で「無効化された後」の被害を閉じ込める
三つの軸に加えて、もう一段の備えがネットワークの分割（セグメンテーション）です。EDRが無効化され、ある端末が攻撃者に握られたとしても、その端末から社内のあらゆる場所へ自由に動けなければ、被害は局所に留まります。重要なサーバーやバックアップ領域を、業務端末から直接アクセスできない区画に分けておく。端末間の不要な通信を絞っておく。こうした分割は、EDRという「点」の守りが破られたときに、被害を「面」に広げさせないための保険になります。とくにランサムウェアは横展開してバックアップごと暗号化しにくることが多いため、バックアップを攻撃者の手の届かない場所に隔離しておくことは、最後の砦として効きます。EDR無効化を前提に考えると、「守りが一つ破れても、次の壁がある」状態を意図的に作っておくことの価値がはっきり見えてきます。
SOC・情シスのための検知と対応の進め方
では、実際の運用に落とし込みます。専任のセキュリティチームがいなくても着手できる順に並べます。
1. 検知: 「ドライバ読み込み」と「EDRの沈黙」を見る
監視の優先度が高いのは二つです。一つは、見慣れないカーネルドライバが新規に読み込まれた挙動。もう一つは、EDRエージェントのプロセス終了やサービス停止、ログ送信の途絶です。SIEMを運用しているなら、「特定端末からのEDRログが一定時間途絶えたらアラート」という相関ルールは費用対効果が高い一手です。EDR管理コンソール側にも、エージェント保護の解除やオフライン化を通知する設定があれば有効にしておきます。
2. 隔離: 疑わしい端末をネットワークから切り離す
EDRの無効化やドライバの不審な読み込みを検知したら、その端末を速やかにネットワークから隔離します。EDR無効化はランサムウェア展開の前段階で行われることが多いため、ここで横展開（他の端末への拡大）を止められるかが被害規模を大きく左右します。EDRがすでに止められている場合は、ネットワーク機器側でのアクセス遮断や、物理的な切り離しも選択肢に入れてください。
3. 確認と復旧: 痕跡を精査し、作り直す
隔離後は、不正なドライバや残された不審ファイル、新規に作られたアカウント、設定変更の有無を精査します。攻撃者はEDRを止めたうえで裏口を仕込んでいる可能性があるため、「EDRを再び有効化して終わり」にせず、侵害の範囲を見極めたうえでクリーンな状態へ復旧することが大切です。この段階で判断に迷う場合は、保守委託先やインシデント対応の専門事業者に相談するのが現実的です。
| 攻撃者の狙い | 対抗する防御 | 難易度 |
|---|---|---|
| EDRをローカルで停止・解除する | タンパープロテクションを有効化（解除に追加認証） | 低（設定で着手） |
| 脆弱な正規ドライバを持ち込む（BYOVD） | 脆弱ドライバブロックリストの有効化・最新化 | 低～中 |
| EDRを黙らせて気づかれずに進む | EDRの生存監視・ログ途絶アラート（SIEM） | 中 |
| 無効化後にランサムウェアを横展開 | ネットワーク分割と即時隔離の手順整備 | 中 |
中小企業でも今日からできること
専任担当がいない環境でも、優先度の高いところから着手できます。次の項目をチェックリストとして使ってください。
・タンパープロテクションの確認: 使っているEDR/ウイルス対策ソフトの自己防衛機能が有効か、解除に追加認証がかかるかを確認する
・脆弱ドライバブロックの有効化: Windowsの脆弱ドライバブロックリストを有効にし、OSとブロックリストを最新に保つ
・EDRの沈黙に気づく仕組み: 「ある端末からEDRのログが急に来なくなったら気づける」状態を作る（管理コンソールのオフライン通知でも可）
・管理者権限の最小化: 日常業務を管理者権限で行わない。ドライバ読み込みに必要な権限を絞る
・隔離手順の事前準備: 「不審な端末をネットワークから切り離す」手順を、慌てる前に書き出して共有しておく
どれも高額なツールの追加購入を前提としない対策です。まずは「いま入っている守りを、攻撃者が勝手に止められない状態にする」ことから始めるのが、費用対効果の高い第一歩になります。
PR
初心者のための実践セキュリティ 自宅ラボでの攻撃検知と防御（技術の泉シリーズ）
手元の検証環境で「攻撃を検知して防ぐ」感覚をつかみたい方に向いた一冊です。EDRの沈黙やログの途絶に気づくための監視の考え方を、手を動かしながら学べます。
よくある疑問（FAQ）
Q1. GentleKillerは、私が使っているEDRの脆弱性を突いてくるのですか？
いいえ。GentleKillerが悪用するのは、OSのドライバ署名の仕組みと、第三者製の脆弱な正規ドライバ（BYOVD）です。EDR製品そのものの欠陥を突く攻撃ではありません。だからこそ、EDRを過信せず、脆弱ドライバの読み込みを塞ぎ、EDRが止められても気づける仕組みを別系統で持つことが対策の中心になります。
Q2. タンパープロテクションを有効にすれば、もう無効化されませんか？
「100%防げる」とは言い切れません。タンパープロテクションは攻撃者の手数を増やし、時間を稼ぐ重要な一手ですが、カーネルレベルからの攻撃を完全に封じるものではありません。脆弱ドライバのブロック、EDRの生存監視、ネットワーク分割と組み合わせる多層防御が前提になります。一つの機能に頼り切らないことが大切です。
Q3. 中小企業で高価なEDRを導入していない場合、何を優先すべきですか？
まずは「いま入っている守り（OS標準のMicrosoft Defenderやウイルス対策ソフト）の自己防衛機能を有効にする」「Windowsの脆弱ドライバブロックリストを有効にする」「管理者権限を日常的に使わない」の3点から着手してください。いずれも追加コストを抑えて着手でき、BYOVD系の攻撃に対する基礎体力になります。
Q4. EDRのログが急に止まったら、まず何をすればよいですか？
その端末を疑わしいものとして扱い、ネットワークからの隔離を検討してください。EDR無効化はランサムウェア展開の前段階で行われることが多く、横展開を止められるかが被害規模を分けます。隔離後に、不審なドライバ・新規アカウント・設定変更を精査し、判断に迷えば専門事業者へ相談するのが安全側の進め方です。
Q5. 攻撃者はどうしてここまで速く新しい手法を取り込めるのですか？
BYOVDの実証コード（PoC）が公開されると、攻撃者はそれを数日で自分たちのツールへ組み込みます。防御側が検知ルールやパッチを整える前に武器化される、というのが現実です。だからこそ、特定の脆弱性ごとに後追いするより、「脆弱ドライバは原則読み込ませない」「守りの沈黙に気づく」といった、手法そのものに効く設計に寄せておくことが有効です。
本記事のまとめ
GentleKillerは、EDRが動いていることを前提に、それを「殺してから」侵入を進めるためのツールです。400を超えるセキュリティプロセスをBYOVDで停止対象にする現実を踏まえれば、防御側の発想も「EDRを過信する」段階から、「EDRが無効化される前提で守りを設計する」段階へ移す必要があります。
やるべきことの軸はシンプルです。EDRのタンパープロテクションを有効にして勝手に止められない状態を作り、脆弱ドライバの読み込みを塞いでBYOVDの入り口を狭め、EDRの沈黙に別系統で気づける多層の構えを持つ。攻撃者から見れば、止めても気づかれ、止める前に手間がかかり、止めた後も横展開できない環境は、割に合わない標的です。その「割に合わない状態」を、防御側が先回りして作ることが本質的な対策になります。正しく知れば、過度に恐れる必要はありません。落ち着いて、優先順位の高いところから守りを固めていきましょう。
守りが「殺される」前提で、攻撃者の狙いを学ぶ
EDRやエンドポイントの守りは、攻撃者がどこを狙うかを知ることから強くなります。
攻撃手法を防御に落とし込む実践的な解説を、これからもお届けしていきます。
