Ett ransomware-gäng med 483 offer och en växande verktygslåda

En ransomware-operation känd som The Gentlemen har enligt uppgift komprometterat 483 offer genom att kombinera två distinkta delar av skadlig verktygssats: ett försvarsundvikande verktyg kallat GentleKiller och en fjärråtkomsttrojan som heter EtherRAT. Tillsammans gör dessa verktyg det möjligt för gruppen att inaktivera säkerhetsprogramvara på ett offers maskin och upprätthålla hemlig kommando-och-kontroll-kommunikation som är svårare för försvarare att stänga av.

Gruppen, som säkerhetsforskare också har kopplat till attacker mot organisationer som den nederländska isstadion som täcks i vår rapport om The Gentlemen ransomware-gängets attack mot Thialf, har stadigt expanderat sin räckvidd. Istället för att förlita sig på en enda ny exploit verkar gängets framgång komma från att stapla flera välkända undvikandetekniker i ett automatiserat paket och sedan återanvända det paketet mot ett stort antal mål.

Hur GentleKiller besegrar säkerhetsprogramvara

I centrum av denna kampanj finns GentleKiller, ett verktyg byggt kring en teknik som vanligen kallas BYOVD, eller "Bring Your Own Vulnerable Driver". I enkla termer installerar angripare en legitim men bristfällig drivrutin för hårdvara eller programvara på ett offers dator. Eftersom den drivrutinen ofta är digitalt signerad och betrodd av Windows kan den köras med djupa systemnivåprivilegier. Angriparna utnyttjar sedan en känd svaghet i den drivrutinen för att stänga av eller blinda säkerhetsprogramvara som körs på maskinen, vilket effektivt förvandlar en betrodd programvarukomponent till ett vapen mot just de verktyg som är avsedda att stoppa den.

Enligt rapportering om denna kampanj har GentleKiller använts för att besegra 48 olika säkerhetsleverantörers produkter. Den siffran spelar roll eftersom den antyder att verktyget inte designades för att undvika ett eller två specifika antivirusprogram. Istället byggdes det som ett brett, återanvändbart ramverk som kan neutralisera en stor del av marknaden för endpoint-skydd. Detta speglar ett mönster vi har spårat tidigare i vår rapportering om hur The Gentlemen ransomware bländar EDR-verktyg, där gruppens operatörer har visat ett konsekvent intresse för att inaktivera detektion innan de distribuerar sin faktiska krypteringsnyttolast.

EtherRAT och blockchain-twisten

Den andra komponenten, EtherRAT, hanterar kommando-och-kontroll-kommunikation (C2), den kanal angripare använder för att skicka instruktioner till infekterade maskiner och ta emot stulen data eller statusuppdateringar tillbaka. Det som skiljer EtherRAT åt är dess rapporterade användning av blockchain-infrastruktur för detta ändamål. Traditionella C2-servrar kan identifieras och tas ned av forskare eller brottsbekämpande myndigheter när de väl upptäckts. Genom att dirigera kommunikation genom blockchain-baserade mekanismer gör angriparna den typen av nedtagning betydligt svårare, eftersom blockchain-data är distribuerad och motståndskraftig mot en enda avstängningspunkt.

Denna kombination, en drivrutinsbaserad försvarsdödare parad med en motståndskraftig C2-kanal, speglar en bredare trend bland ransomware-as-a-service-operationer: bygg en gång, sälj eller licensiera brett, och låt affiliates köra storskaliga kampanjer mot en mängd olika mål, inklusive de små och medelstora företag som i allt högre grad pekas ut av grupper som konkurrerar om marknadsandelar, som vi detaljerade i vår artikel om Qilin och The Gentlemen eskalerande SMB-attacker.

Vad detta betyder för dig

Om du hanterar IT-system för ett företag, eller ens bara bryr dig om din hemnätverkssäkerhet, är den centrala lärdomen här inte specifik för The Gentlemen. Det handlar om gränserna för att förlita sig på en enda säkerhetsprodukt. Ett verktyg som kan besegra 48 olika leverantörer visar att antivirus eller endpoint-detekteringsprogramvara ensam inte kan behandlas som ett komplett försvar.

För individer är den praktiska risken lägre men inte noll: ransomware-grupper får ofta initial åtkomst genom nätfiske-mejl, exponerade fjärråtkomsttjänster eller ouppdaterad programvara, samma ingångspunkter som utsätter personuppgifter och hemnätverk för risk. Att hålla system uppdaterade, använda unika lösenord och vara försiktig med oönskade bilagor förblir grundläggande skydd oavsett hur sofistikerad bakgrundsskadlig programvara blir.

För organisationer är denna kampanj en påminnelse om att betala en lösensumma inte garanterar säkerhet framåt. Som täcks i vår tidigare analys av en Proofpoint-studie om ransomware-betalare, blir ungefär ett av tre företag som betalar en lösensumma utsatta igen. Skiktade försvar, offline-säkerhetskopior och policyer för drivrutinslistning som begränsar vilka kärnnivådrivrutiner som kan laddas är betydligt mer hållbara skydd än att hoppas att ett enda säkerhetsverktyg fångar varje hot.

Slutsatser

  • Förlita dig inte på en enda säkerhetsprodukt; skiktade försvar spelar större roll när angripare specifikt designar verktyg för att kringgå enskilda leverantörer.
  • Begränsa vilka drivrutiner som kan laddas på dina system, eftersom BYOVD-attacker är beroende av att installera externa drivrutiner med kärnåtkomst.
  • Håll offline, testade säkerhetskopior så att en ransomware-infektion inte tvingar fram ett betalningsbeslut.
  • Behandla oväntade e-postmeddelanden, länkar och fjärråtkomstförfrågningar med misstänksamhet, eftersom initial åtkomst fortfarande vanligtvis börjar med grundläggande social manipulering eller ouppdaterad programvara.
  • Håll dig informerad om grupper som The Gentlemen ransomware-operation, eftersom deras verktyg och mål fortsätter att utvecklas.