Der Gentlemen Ransomware: Einblick in eine Ransomware-as-a-Service-Operation

Zusammenfassung

The Gentlemen ist eine Russisch-sprachige Ransomware-as-a-Service (RaaS) Gruppe, die Mitte 2025 auftauchte, nachdem sie zuvor als Affiliate von LockBit und Qilin operierte. Die Gruppe folgt einem Doppel-Erpressungsmodell, bei dem die Daten der Opfer verschlüsselt werden, während mit der Veröffentlichung gestohlener Informationen auf einer speziellen Leak-Seite gedroht wird. Ihre Operationen zielen auf Windows-, Linux-, NAS- und BSD-Umgebungen ab und nutzen Go-basierte Ransomware.

Untersuchung

Acronis-Forscher analysierten eine Kompromittierung der Infrastruktur von The Gentlemen, die interne Kommunikation, Affiliate-Informationen und Diskussionen über die Werkzeugentwicklung offenlegte. Die technische Analyse enthüllte maßgeschneiderte EDR-killing Droppers, die verwundbare Treiber missbrauchen, um Sicherheitsprozesse zu beenden. Forscher kartierten auch die Verschlüsselungsroutinen der Gruppe, Persistenzmethoden und seitliche Bewegungsaktivitäten unter Einsatz von PsExec.

Abhilfe

Organisationen sollten EDR/XDR-Lösungen implementieren, die in der Lage sind, das Manipulieren von Sicherheitstools und das unautorisierte Laden von Treibern zu erkennen. Es ist entscheidend, Betriebssysteme und Drittanbietertreiber stets aktuell zu halten, um den Missbrauch verwundbarer Kernel-Treiber zu reduzieren. Die Einschränkung der PowerShell-Nutzung und die Aufrechterhaltung isolierter, regelmäßig getesteter Backups werden ebenfalls dringend empfohlen.

Antwort

Bei der Erkennung von Aktivitäten der Gentlemen sollten Incident-Responder die betroffenen Systeme sofort isolieren, um seitliche Bewegungen durch PsExec oder automatisierte Verbreitung zu verhindern. Unautorisierte geplante Aufgaben und Registry-Run-Schlüssel wie GupdateS and GupdateU untersuchen, um die Persistenz zu stören. Überprüfen Sie Windows-Ereignisprotokolle und PowerShell-Verlauf auf Beweise der Entfernung von Artefakten und forensische Umgehung.

Simulation der Ausführung

• Angriffsnarrativ & Befehle: Der Gegner hat ersten Zugriff erlangt und bereitet die Umgebung für eine Ransomware-Bereitstellung durch die Gruppe „The Gentlemen“ vor. Um maximale Auswirkungen zu gewährleisten und Interferenzen zu verhindern, führt der Angreifer eine Reihe von Befehlen aus, um: 1) alle laufenden Benutzeranwendungen zu beenden, 2) kritische Dienste zu stoppen, 3) einen Persistenzmechanismus über eine geplante Aufgabe zu erstellen und 4) Berechtigungen an einem Zielverzeichnis zu ändern, um sicherzustellen, dass der Verschlüsselungsprozess volle Kontrolle hat. Diese Simulation verwendet die genau angegebenen Zeichenfolgen in der Erkennungsregel, um die Auslösung der Regel zu überprüfen.

• Regressionstest-Skript:

  # Simulationsskript zur Auslösung der Gentlemen Ransomware-Erkennungsregel
  Write-Host "[+] Starten der Ransomware-Simulation..." -ForegroundColor Cyan
  
  # 1. Auswahl1 & Auswahl2 auslösen (Prozessbeendigung)
  Write-Host "[+] Auslösen der Taskkill-Erkennung..." -ForegroundColor Yellow
  Start-Process "taskkill.exe" -ArgumentList "/F /IM explorer.exe" -Wait
  
  # 2. Auswahl3 auslösen (Dienst stoppen)
  Write-Host "[+] Auslösen der Net Stop-Erkennung..." -ForegroundColor Yellow
  Start-Process "net.exe" -ArgumentList "stop Spooler" -Wait
  
  # 3. Auswahl4 auslösen (Persistenz)
  Write-Host "[+] Auslösen der Schtasks-Erkennung..." -ForegroundColor Yellow
  Start-Process "schtasks.exe" -ArgumentList "/Create /TN UpdateSystem /TR 'calc.exe' /SC ONCE /ST 00:00" -Wait
  
  # 4. Auswahl5 auslösen (Berechtigungsänderungen)
  Write-Host "[+] Auslösen der Icacls-Erkennung..." -ForegroundColor Yellow
  New-Item -Path "$env:TEMPRansomSim" -ItemType Directory -Force | Out-Null
  Start-Process "icacls.exe" -ArgumentList "$env:TEMPRansomSim /grant:r everyone:F" -Wait
  
  Write-Host "[+] Simulation abgeschlossen." -ForegroundColor Green

• Bereinigungskommandos:

  # Bereinigungsskript zum Entfernen von Artefakten, die während der Simulation erstellt wurden
  Write-Host "[+] Bereinigen von Simulationsartefakten..." -ForegroundColor Cyan
  schtasks /Delete /TN UpdateSystem /F
  Remove-Item -Path "$env:TEMPRansomSim" -Recurse -Force
  Write-Host "[+] Bereinigung abgeschlossen." -ForegroundColor Green