Il Ransomware Gentlemen: All’interno di un’Operazione Ransomware-as-a-Service

Sommario

The Gentlemen è un gruppo Ransomware-as-a-Service (RaaS) di lingua russa emerso nella metà del 2025 dopo aver operato in precedenza come affiliato di LockBit e Qilin. Il gruppo segue un modello di doppio ricatto, criptando i dati delle vittime e minacciando di pubblicare le informazioni rubate su un sito di leak dedicato. Le sue operazioni prendono di mira ambienti Windows, Linux, NAS e BSD utilizzando ransomware basati su Go.

Indagine

I ricercatori di Acronis hanno analizzato una violazione dell’infrastruttura di The Gentlemen che ha esposto comunicazioni interne, informazioni sugli affiliati e discussioni relative allo sviluppo di strumenti. L’analisi tecnica ha scoperto droppers personalizzati che uccidono gli EDR abusando di driver vulnerabili per terminare processi di sicurezza. I ricercatori hanno anche mappato le routine di crittografia del gruppo, i metodi di persistenza e l’attività di movimento laterale che coinvolge PsExec.

Mitigazione

Le organizzazioni dovrebbero implementare soluzioni EDR/XDR capaci di identificare la manomissione degli strumenti di sicurezza e il caricamento di driver non autorizzati. Mantenere aggiornati i sistemi operativi e i driver di terze parti è fondamentale per ridurre l’abuso di driver kernel vulnerabili. È inoltre fortemente raccomandato limitare l’uso di PowerShell e mantenere backup isolati e testati regolarmente.

Risposta

Quando viene rilevata un’attività di The Gentlemen, i risponditori agli incidenti dovrebbero immediatamente isolare i sistemi colpiti per prevenire il movimento laterale tramite PsExec o la propagazione automatizzata. Indagare su attività pianificate non autorizzate e chiavi di Run nel registro come GupdateS and GupdateU per interrompere la persistenza. Esaminare i registri eventi di Windows e la cronologia di PowerShell per trovare prove di rimozione di artefatti e evasione forense.

Esecuzione di Simulazione

• Narrativa di Attacco & Comandi: L’avversario ha ottenuto l’accesso iniziale e sta preparando l’ambiente per un dispiegamento di ransomware da parte del gruppo “The Gentlemen”. Per assicurare il massimo impatto e prevenire interferenze, l’attaccante esegue una serie di comandi per: 1) Terminare qualsiasi applicazione utente in esecuzione, 2) Fermare servizi critici, 3) Creare un meccanismo di persistenza tramite un’attività pianificata, e 4) Modificare i permessi su una directory di destinazione per assicurare che il processo di crittografia abbia il controllo completo. Questa simulazione usa le esatte stringhe specificate nella regola di rilevazione per verificare se la regola si attiva.

• Script di Test di Regressione:

  # Script di simulazione per attivare la regola di rilevamento di Ransomware The Gentlemen
  Write-Host "[+] Avvio Simulazione Ransomware..." -ForegroundColor Cyan
  
  # 1. Attiva selezione1 & selezione2 (Terminazione Processo)
  Write-Host "[+] Attivazione rilevamento Taskkill..." -ForegroundColor Yellow
  Start-Process "taskkill.exe" -ArgumentList "/F /IM explorer.exe" -Wait
  
  # 2. Attiva selezione3 (Arresto Servizio)
  Write-Host "[+] Attivazione rilevamento Net Stop..." -ForegroundColor Yellow
  Start-Process "net.exe" -ArgumentList "stop Spooler" -Wait
  
  # 3. Attiva selezione4 (Persistenza)
  Write-Host "[+] Attivazione rilevamento Schtasks..." -ForegroundColor Yellow
  Start-Process "schtasks.exe" -ArgumentList "/Create /TN UpdateSystem /TR 'calc.exe' /SC ONCE /ST 00:00" -Wait
  
  # 4. Attiva selezione5 (Modifiche Permesso)
  Write-Host "[+] Attivazione rilevamento Icacls..." -ForegroundColor Yellow
  New-Item -Path "$env:TEMPRansomSim" -ItemType Directory -Force | Out-Null
  Start-Process "icacls.exe" -ArgumentList "$env:TEMPRansomSim /grant:r everyone:F" -Wait
  
  Write-Host "[+] Simulazione Completa." -ForegroundColor Green

• Comandi di Pulizia:

  # Script di pulizia per rimuovere gli artefatti creati durante la simulazione
  Write-Host "[+] Pulizia degli artefatti di simulazione..." -ForegroundColor Cyan
  schtasks /Delete /TN UpdateSystem /F
  Remove-Item -Path "$env:TEMPRansomSim" -Recurse -Force
  Write-Host "[+] Pulizia Completata." -ForegroundColor Green