O Ransomware Gentlemen: Dentro de uma Operação de Ransomware como Serviço

Resumo

The Gentlemen é um grupo Ransomware-as-a-Service (RaaS) de língua russa que surgiu em meados de 2025, após operar anteriormente como um afiliado do LockBit e Qilin. O grupo segue um modelo de dupla extorsão, criptografando dados das vítimas enquanto ameaça publicar informações roubadas em um site dedicado a vazamentos. Suas operações visam ambientes Windows, Linux, NAS e BSD usando ransomware baseado em Go.

Investigação

Pesquisadores da Acronis analisaram uma violação da infraestrutura do The Gentlemen que expôs comunicações internas, informações de afiliados e discussões relacionadas ao desenvolvimento de ferramentas. A análise técnica revelou droppers customizados para matar EDR que abusam de drivers vulneráveis para encerrar processos de segurança. Os pesquisadores também mapearam as rotinas de criptografia do grupo, métodos de persistência e atividade de movimentação lateral envolvendo PsExec.

Mitigação

As organizações devem implantar soluções EDR/XDR capazes de identificar manipulações em ferramentas de segurança e carregamento de drivers não autorizados. Manter sistemas operacionais e drivers de terceiros totalmente atualizados é fundamental para reduzir o abuso de drivers de kernel vulneráveis. Restringir o uso do PowerShell e manter backups isolados, regularmente testados, também é fortemente recomendado.

Resposta

Quando a atividade do The Gentlemen é detectada, os respondedores de incidentes devem isolar imediatamente os sistemas afetados para evitar movimentações laterais por meio do PsExec ou propagação automatizada. Investigue tarefas agendadas não autorizadas e chaves de registro de execução como GupdateS and GupdateU para interromper a persistência. Revise os Logs de Eventos do Windows e o histórico do PowerShell para evidências de remoção de artefatos e evasão forense.

Execução da Simulação

• Narrativa e Comandos do Ataque: O adversário ganhou acesso inicial e está preparando o ambiente para uma implantação de ransomware pelo grupo “The Gentlemen”. Para garantir o máximo impacto e evitar interferências, o atacante executa uma série de comandos para: 1) Terminar quaisquer aplicativos de usuário em execução, 2) Parar serviços críticos, 3) Criar um mecanismo de persistência por meio de uma tarefa agendada, e 4) Modificar permissões em um diretório alvo para garantir que o processo de criptografia tenha controle total. Esta simulação usa as mesmas strings especificadas na regra de detecção para verificar se a regra é acionada.

• Script de Teste de Regressão:

  # Script de simulação para acionar a regra de detecção do Gentlemen Ransomware
  Write-Host "[+] Iniciando Simulação de Ransomware..." -ForegroundColor Cyan
  
  # 1. Acionar seleção1 & seleção2 (Terminamento de Processo)
  Write-Host "[+] Acionando detecção do Taskkill..." -ForegroundColor Yellow
  Start-Process "taskkill.exe" -ArgumentList "/F /IM explorer.exe" -Wait
  
  # 2. Acionar seleção3 (Parada de Serviço)
  Write-Host "[+] Acionando detecção do Net Stop..." -ForegroundColor Yellow
  Start-Process "net.exe" -ArgumentList "stop Spooler" -Wait
  
  # 3. Acionar seleção4 (Persistência)
  Write-Host "[+] Acionando detecção do Schtasks..." -ForegroundColor Yellow
  Start-Process "schtasks.exe" -ArgumentList "/Create /TN UpdateSystem /TR 'calc.exe' /SC ONCE /ST 00:00" -Wait
  
  # 4. Acionar seleção5 (Mudança de Permissões)
  Write-Host "[+] Acionando detecção do Icacls..." -ForegroundColor Yellow
  New-Item -Path "$env:TEMPRansomSim" -ItemType Directory -Force | Out-Null
  Start-Process "icacls.exe" -ArgumentList "$env:TEMPRansomSim /grant:r everyone:F" -Wait
  
  Write-Host "[+] Simulação Completa." -ForegroundColor Green

• Comandos de Limpeza:

  # Script de limpeza para remover artefatos criados durante a simulação
  Write-Host "[+] Limpando artefatos de simulação..." -ForegroundColor Cyan
  schtasks /Delete /TN UpdateSystem /F
  Remove-Item -Path "$env:TEMPRansomSim" -Recurse -Force
  Write-Host "[+] Limpeza Concluída." -ForegroundColor Green