SystemBC ist seit mindestens 2019 bekannt und dient dem SOCKS5-Tunneling. Wegen seiner Fähigkeit, Schadcode auf infizierte Systeme zu schleusen, wurde die Malware rasch von Ransomware-Gruppen übernommen. Trotz einer Strafverfolgungsaktion, die das Botnet 2024 betraf, bleibt es aktiv. Black Lotus Labs berichtete im vergangenen Jahr, dass täglich rund 1.500 kommerzielle virtuelle private Server (VPS) infiziert wurden, um schädlichen Datenverkehr umzuleiten.
Die mit dem Gentlemen-Einsatz von SystemBC verknüpften Opfer befinden sich laut Check Point überwiegend in den USA, Großbritannien, Deutschland, Australien und Rumänien. Der konkrete Steuerungsserver habe weltweit eine große Zahl von Systemen infiziert; da SystemBC typischerweise im Rahmen manuell gesteuerter Eindringversuche eingesetzt werde, dürfte es sich mehrheitlich um Firmen und Organisationen handeln. Wie genau SystemBC in das Ökosystem der Gentlemen-Ransomware passt und ob die Malware von mehreren Affiliates genutzt wurde, konnten die Forscher nicht klären.
Den ursprünglichen Zugangsweg konnte Check Point in den beobachteten Angriffen nicht bestimmen. Fest steht, dass der Angreifer von einem Domänencontroller mit Domänenadministrator-Rechten aus operierte. Von dort prüfte er funktionierende Zugangsdaten, führte Aufklärung durch und brachte anschließend Cobalt-Strike-Payloads per RPC auf entfernte Systeme. Für die laterale Bewegung dienten Zugangsdaten, die mit Mimikatz abgegriffen wurden, sowie Remote-Ausführung. Die Ransomware wurde von einem internen Server aus bereitgestellt; über eingebaute Verbreitungsmechanismen und Gruppenrichtlinien (GPO) löste der Angreifer die nahezu gleichzeitige Ausführung des Verschlüsselers auf allen domänengebundenen Systemen aus.
Technisch nutzt die Malware ein hybrides Verfahren aus X25519 (Diffie-Hellman) und XChaCha20, wobei für jede Datei ein zufälliges flüchtiges Schlüsselpaar erzeugt wird. Dateien unter 1 MB werden vollständig verschlüsselt, bei größeren Dateien nur Datenblöcke von etwa 9, 3 oder 1 Prozent. Vor der Verschlüsselung beendet Gentlemen Datenbanken, Backup-Software und Virtualisierungsprozesse und löscht Schattenkopien sowie Protokolle; die ESXi-Variante fährt zudem virtuelle Maschinen herunter, um deren Datenträger verschlüsseln zu können.
Zu den dokumentierten Vorfällen zählt nach Angaben der Gruppe die Kompromittierung des Oltenia Energy Complex, eines der größten Energieversorger Rumäniens, im vergangenen Dezember. Kürzlich legte The Adaptavist Group einen Einbruch offen, den Gentlemen auf seiner Daten-Leak-Seite auflistete. Check Point warnt, dass die wenig beachtete RaaS-Operation rasch wächst und in einschlägigen Foren neue Affiliates anwirbt. Die Kombination aus SystemBC, Cobalt Strike und dem Botnet aus 1.570 Hosts deute darauf hin, dass die Gruppe nun auf höherem Niveau agiere und sich aktiv in ein breiteres Werkzeugarsenal aus ausgereiften Post-Exploitation-Frameworks und Proxy-Infrastruktur einfüge. Neben den Indikatoren für eine Kompromittierung (IoCs) stellt Check Point eine signaturbasierte YARA-Regel zur Erkennung bereit.