Uma Gangue de Ransomware com 483 Vítimas e um Kit de Ferramentas em Expansão

Uma operação de ransomware conhecida como The Gentlemen teria comprometido 483 vítimas ao combinar duas peças distintas de ferramentas maliciosas: um utilitário de evasão de defesas chamado GentleKiller e um trojan de acesso remoto chamado EtherRAT. Juntas, essas ferramentas permitem que o grupo desative o software de segurança na máquina da vítima e mantenha uma comunicação furtiva de comando e controle que é mais difícil para os defensores derrubarem.

O grupo, que pesquisadores de segurança também associaram a ataques contra organizações como o estádio de gelo holandês coberto em nosso relatório sobre o ataque da gangue de ransomware The Gentlemen à Thialf, vem expandindo consistentemente seu alcance. Em vez de depender de uma única exploração inédita, o sucesso da gangue parece vir do empilhamento de várias técnicas conhecidas de evasão em um único pacote automatizado, reutilizando esse pacote em um grande número de alvos.

Como o GentleKiller Derrota o Software de Segurança

No centro desta campanha está o GentleKiller, uma ferramenta construída em torno de uma técnica comumente chamada de BYOVD, ou "Bring Your Own Vulnerable Driver" (Traga Seu Próprio Driver Vulnerável). Em termos simples, os atacantes instalam um driver legítimo, porém defeituoso, de hardware ou software no computador da vítima. Como esse driver geralmente é assinado digitalmente e confiável pelo Windows, ele pode operar com privilégios profundos de nível de sistema. Os atacantes então exploram uma fraqueza conhecida nesse driver para desligar ou cegar o software de segurança em execução na máquina, efetivamente transformando uma peça de software confiável em uma arma contra as próprias ferramentas que deveriam detê-lo.

De acordo com relatos sobre esta campanha, o GentleKiller foi usado para derrotar produtos de 48 fornecedores diferentes de segurança. Esse número importa porque sugere que a ferramenta não foi projetada para evadir um ou dois programas antivírus específicos. Em vez disso, foi construída como um framework amplo e reutilizável, capaz de neutralizar uma grande parcela do mercado de proteção de endpoints. Isso reflete um padrão que já rastreamos em nossa cobertura sobre como o ransomware The Gentlemen cega ferramentas EDR, onde os operadores do grupo demonstraram um interesse consistente em desativar a detecção antes de implantar sua carga útil real de criptografia.

EtherRAT e a Reviravolta do Blockchain

O segundo componente, EtherRAT, gerencia a comunicação de comando e controle (C2), o canal que os atacantes usam para enviar instruções às máquinas infectadas e receber dados roubados ou atualizações de status. O que diferencia o EtherRAT é seu suposto uso de infraestrutura de blockchain para esse propósito. Servidores C2 tradicionais podem ser identificados e derrubados por pesquisadores ou forças de segurança uma vez descobertos. Ao rotear a comunicação por mecanismos baseados em blockchain, os atacantes tornam esse tipo de derrubada significativamente mais difícil, já que os dados do blockchain são distribuídos e resistentes a um único ponto de desligamento.

Essa combinação — um exterminador de defesas baseado em driver pareado com um canal C2 resiliente — reflete uma tendência mais ampla entre operações de ransomware-como-serviço: construir uma vez, vender ou licenciar amplamente, e deixar que afiliados executem campanhas em larga escala contra uma variedade de alvos, incluindo as pequenas e médias empresas que estão cada vez mais sendo alvo de grupos que competem por participação de mercado, como detalhamos em nosso artigo sobre Qilin e The Gentlemen intensificando ataques a SMBs.

O Que Isso Significa Para Você

Se você gerencia sistemas de TI para uma empresa, ou mesmo apenas se preocupa com a segurança da sua rede doméstica, a lição central aqui não é específica do grupo The Gentlemen. Trata-se dos limites de depender de qualquer produto de segurança único. Uma ferramenta capaz de derrotar 48 fornecedores diferentes demonstra que software antivírus ou de detecção de endpoints sozinho não pode ser tratado como uma defesa completa.

Para indivíduos, o risco prático é menor, mas não zero: gangues de ransomware frequentemente obtêm acesso inicial por e-mails de phishing, serviços de acesso remoto expostos ou software sem atualizações — os mesmos pontos de entrada que colocam dados pessoais e redes domésticas em risco. Manter os sistemas atualizados, usar senhas únicas e ter cautela com anexos não solicitados continua sendo uma proteção fundamental, independentemente de quão sofisticado o malware de back-end se torne.

Para organizações, esta campanha é um lembrete de que pagar um resgate não garante segurança no futuro. Conforme abordado em nossa análise anterior de um estudo da Proofpoint sobre pagadores de ransomware, cerca de uma em cada três empresas que pagam um resgate são alvo novamente. Defesas em camadas, backups offline e políticas de listagem de permissão de drivers que restringem quais drivers de nível de kernel podem ser carregados são proteções muito mais duráveis do que esperar que uma única ferramenta de segurança capture todas as ameaças.

Conclusões Principais

  • Não dependa de um único produto de segurança; defesas em camadas importam mais quando atacantes projetam especificamente ferramentas para contornar fornecedores individuais.
  • Restrinja quais drivers podem ser carregados em seus sistemas, já que ataques BYOVD dependem da instalação de drivers externos com acesso ao kernel.
  • Mantenha backups offline e testados para que uma infecção de ransomware não force uma decisão de pagamento.
  • Trate e-mails inesperados, links e solicitações de acesso remoto com suspeita, já que o acesso inicial ainda normalmente começa com engenharia social básica ou software sem atualizações.
  • Mantenha-se informado sobre grupos como a operação de ransomware The Gentlemen, já que suas ferramentas e alvos continuam evoluindo.

FAQ (traduzir cada pergunta e resposta): Q1: Quantas vítimas o ransomware The Gentlemen comprometeu? A1: O grupo The Gentlemen teria comprometido 483 vítimas. Q2: O que é o GentleKiller? A2: O GentleKiller é uma ferramenta de evasão de defesas que usa uma técnica BYOVD para desativar ou cegar o software de segurança na máquina da vítima. Q3: O que o EtherRAT faz? A3: O EtherRAT gerencia a comunicação de comando e controle para os atacantes, usando infraestrutura de blockchain para tornar a derrubada mais difícil. Q4: Quantos produtos de fornecedores de segurança o GentleKiller consegue derrotar? A4: O GentleKiller foi usado para derrotar produtos de 48 fornecedores diferentes de segurança. Q5: O que é BYOVD? A5: BYOVD significa "Bring Your Own Vulnerable Driver" (Traga Seu Próprio Driver Vulnerável), onde atacantes instalam um driver assinado legítimo, porém defeituoso, e exploram uma fraqueza conhecida para desligar o software de segurança. ---END---