The Gentlemen RaaS működése
Az Acronis Threat Research Unit elemzése a The Gentlemen nevű, orosz nyelvű ransomware-as-a-service csoport működését tárja fel. A 2025 közepén megjelent szervezet korábban ArmCorp és Phantom Mantis néven tevékenykedett, és kapcsolatban állt a LockBit, illetve a Qilin ökoszisztémájával. Partnereinek a váltságdíj akár 90%-át kínálja, saját állítása szerint pedig már több mint 800 áldozata van.
A Go nyelven fejlesztett zsarolóprogram Windows, Linux, NAS és BSD rendszereket is célba vesz. Kettős zsarolást alkalmaz, adatokat lop, majd titkosítja az állományokat, és közzététellel fenyegeti az áldozatokat. A fájlok titkosításához ChaCha20-at és elliptikus görbéken alapuló kulcsvédelmet használ. Az 1 MB-nál nagyobb fájlokat részlegesen titkosítja, gyorsítva a támadást.
A kártevő leállítja a Windows Defender valós idejű védelmét, kivételeket hoz létre, törli az eseménynaplókat és a PowerShell-parancselőzményeket. Megszakítja az adatbázisok, mentőszoftverek és biztonsági alkalmazások folyamatait is.
Az Acronis egy különösen veszélyes EDR-kiiktató eszközt azonosított, amely sérülékeny, legitim Safetica ProcessMonitor és Lenovo BootRepair.sys illesztőprogramokat használ a védelmi folyamatok leállítására. Ez a BYOVD-technika a Windows kernelének magas jogosultságait használja ki.
A zsarolóprogram tartományvezérlőket keres, csoportházirendeket módosít, majd PsExec segítségével terjed a hálózaton. A 2026 májusában kiszivárgott belső kommunikáció további betekintést adott a csoport szervezetébe, partnerhálózatába és a Qilinhez fűződő kapcsolataiba.
