Gentlemen-Ransomware: 483 Opfer durch GentleKiller-Tool

Eine Ransomware-Bande mit 483 Opfern und einer wachsenden Toolbox

Eine als The Gentlemen bekannte Ransomware-Operation soll 483 Opfer kompromittiert haben, indem sie zwei verschiedene Schadprogramme kombiniert: ein Verteidigungsumgehungs-Tool namens GentleKiller und einen Remote-Access-Trojaner namens EtherRAT. Zusammen ermöglichen diese Tools der Gruppe, Sicherheitssoftware auf dem Zielrechner zu deaktivieren und eine verdeckte Command-and-Control-Kommunikation aufrechtzuerhalten, die für Verteidiger schwerer zu unterbinden ist.

Die Gruppe, die Sicherheitsforscher auch mit Angriffen auf Organisationen wie das niederländische Eisstadion in Verbindung bringen, das in unserem Bericht über den Angriff der Gentlemen-Ransomware-Bande auf Thialf behandelt wird, erweitert stetig ihre Reichweite. Statt sich auf einen einzigen neuartigen Exploit zu verlassen, scheint der Erfolg der Bande darauf zu beruhen, mehrere bekannte Umgehungstechniken in einem automatisierten Paket zu bündeln und dieses Paket dann über eine große Anzahl von Zielen hinweg wiederzuverwenden.

Wie GentleKiller Sicherheitssoftware besiegt

Im Zentrum dieser Kampagne steht GentleKiller, ein Tool, das auf einer Technik basiert, die allgemein als BYOVD bekannt ist – „Bring Your Own Vulnerable Driver". Einfach ausgedrückt installieren Angreifer einen legitimen, aber fehlerhaften Hardware- oder Softwaretreiber auf dem Computer des Opfers. Da dieser Treiber oft digital signiert und von Windows vertrauenswürdig eingestuft wird, kann er mit tiefen Systemrechten ausgeführt werden. Die Angreifer nutzen dann eine bekannte Schwachstelle in diesem Treiber aus, um die auf dem Rechner laufende Sicherheitssoftware abzuschalten oder zu blenden – und verwandeln so ein vertrauenswürdiges Softwareprodukt in eine Waffe gegen genau die Werkzeuge, die es stoppen sollen.

Laut Berichten über diese Kampagne wurde GentleKiller eingesetzt, um Produkte von 48 verschiedenen Sicherheitsanbietern zu besiegen. Diese Zahl ist wichtig, weil sie darauf hindeutet, dass das Tool nicht entwickelt wurde, um ein oder zwei bestimmte Antivirenprogramme zu umgehen. Stattdessen wurde es als breites, wiederverwendbares Framework gebaut, das in der Lage ist, einen großen Teil des Endpunkt-Schutzmarktes zu neutralisieren. Dies spiegelt ein Muster wider, das wir bereits in unserer Berichterstattung darüber verfolgt haben, wie die Gentlemen-Ransomware EDR-Tools blendet, wo die Betreiber der Gruppe ein beständiges Interesse daran gezeigt haben, die Erkennung zu deaktivieren, bevor sie ihre eigentliche Verschlüsselungs-Payload einsetzen.

EtherRAT und die Blockchain-Wendung

Die zweite Komponente, EtherRAT, übernimmt die Command-and-Control-Kommunikation (C2) – den Kanal, über den Angreifer Anweisungen an infizierte Maschinen senden und gestohlene Daten oder Statusaktualisierungen empfangen. Was EtherRAT auszeichnet, ist die berichtete Nutzung von Blockchain-Infrastruktur für diesen Zweck. Herkömmliche C2-Server können von Forschern oder Strafverfolgungsbehörden identifiziert und abgeschaltet werden, sobald sie entdeckt werden. Durch die Weiterleitung der Kommunikation über blockchainbasierte Mechanismen machen Angreifer eine solche Abschaltung erheblich schwieriger, da Blockchain-Daten verteilt sind und gegen einen einzigen Ausfallpunkt resistent sind.

Diese Kombination – ein treiberbasiertes Verteidigungs-Kill-Tool gepaart mit einem widerstandsfähigen C2-Kanal – spiegelt einen breiteren Trend bei Ransomware-as-a-Service-Operationen wider: einmal bauen, breit verkaufen oder lizenzieren, und Affiliates groß angelegte Kampagnen gegen eine Vielzahl von Zielen führen lassen, einschließlich kleiner und mittlerer Unternehmen, die zunehmend von Gruppen ins Visier genommen werden, die um Marktanteile konkurrieren, wie wir in unserem Beitrag über Qilin und The Gentlemen, die SMB-Angriffe eskalieren lassen, detailliert beschrieben haben.

Was das für Sie bedeutet

Wenn Sie IT-Systeme für ein Unternehmen verwalten oder sich auch nur um die Sicherheit Ihres Heimnetzwerks kümmern, ist die Kernlektion hier nicht spezifisch für The Gentlemen. Es geht um die Grenzen, sich auf ein einzelnes Sicherheitsprodukt zu verlassen. Ein Tool, das 48 verschiedene Anbieter besiegen kann, zeigt, dass Antiviren- oder Endpunkt-Erkennungssoftware allein nicht als vollständige Verteidigung behandelt werden kann.

Für Privatpersonen ist das praktische Risiko geringer, aber nicht null: Ransomware-Gruppen verschaffen sich ihren ersten Zugang oft über Phishing-E-Mails, exponierte Remote-Zugriffsdienste oder ungepatchte Software – dieselben Einstiegspunkte, die persönliche Daten und Heimnetzwerke gefährden. Systeme aktuell zu halten, einzigartige Passwörter zu verwenden und bei unaufgeforderten Anhängen vorsichtig zu sein, bleibt ein grundlegender Schutz, egal wie ausgefeilt die Backend-Malware wird.

Für Organisationen ist diese Kampagne eine Erinnerung daran, dass die Zahlung eines Lösegelds keine zukünftige Sicherheit garantiert. Wie in unserer früheren Analyse einer Proofpoint-Studie über Lösegeldzahler behandelt, wird etwa eines von drei Unternehmen, die Lösegeld zahlen, erneut angegriffen. Mehrschichtige Verteidigung, Offline-Backups und Treiber-Allowlist-Richtlinien, die einschränken, welche Kernel-Level-Treiber geladen werden können, sind deutlich dauerhaftere Schutzmaßnahmen, als darauf zu hoffen, dass ein einzelnes Sicherheitswerkzeug jede Bedrohung abfängt.

Erkenntnisse

• Verlassen Sie sich nicht auf ein einzelnes Sicherheitsprodukt; mehrschichtige Verteidigung zählt mehr, wenn Angreifer gezielt Tools entwickeln, um einzelne Anbieter zu umgehen.
• Beschränken Sie, welche Treiber auf Ihren Systemen geladen werden können, da BYOVD-Angriffe davon abhängen, externe Treiber mit Kernel-Zugriff zu installieren.
• Halten Sie getestete Offline-Backups bereit, damit eine Ransomware-Infektion keine Zahlungsentscheidung erzwingt.
• Behandeln Sie unerwartete E-Mails, Links und Remote-Zugriffsanfragen mit Misstrauen, da der erste Zugang typischerweise immer noch mit einfachem Social Engineering oder ungepatchter Software beginnt.
• Bleiben Sie über Gruppen wie die Gentlemen-Ransomware-Operation informiert, da sich deren Tools und Ziele weiterentwickeln.