Nach den Erkenntnissen von Check Point setzte ein Affiliate der The-Gentlemen-Operation SystemBC auf einem kompromittierten Host ein. Der zugehörige C2-Server steuerte Hunderte Opfer weltweit, darunter in den USA, Großbritannien, Deutschland, Australien und Rumänien. SystemBC wird zwar bereits seit 2020 in Ransomware-Operationen genutzt, doch die genaue Art der Verbindung zu The Gentlemen ist unklar – etwa, ob die Malware fester Bestandteil des Vorgehens ist oder von einem bestimmten Affiliate für Datenabfluss und Fernzugriff verwendet wird.
Wie sich die Akteure den ersten Zugang verschaffen, ist nicht eindeutig geklärt. Hinweise deuten darauf hin, dass über das Internet erreichbare Dienste oder gestohlene Zugangsdaten ausgenutzt werden. Danach folgen Erkundung, seitliche Bewegung im Netzwerk, das Bereitstellen von Payloads wie Cobalt Strike, SystemBC und dem Verschlüsseler sowie die eigentliche Ransomware-Ausführung. Auffällig ist der Missbrauch von Gruppenrichtlinienobjekten (GPOs), um eine domänenweite Kompromittierung zu erreichen.
Laut Check Point versucht die Ransomware während der seitlichen Bewegung, Windows Defender auf jedem erreichbaren Host auszuschalten. Dazu wird ein PowerShell-Skript ausgerollt, das die Echtzeitüberwachung deaktiviert, weitreichende Ausnahmen für das Laufwerk, die Staging-Freigabe und den eigenen Prozess hinzufügt, die Firewall abschaltet, SMB1 wieder aktiviert und die LSA-Zugriffskontrollen für anonyme Zugriffe lockert – jeweils bevor die Ransomware-Binärdatei ausgeführt wird. Die ESXi-Variante hat weniger Funktionen als die Windows-Variante, kann aber virtuelle Maschinen herunterfahren, sich über crontab verankern und die Wiederherstellung behindern.
Eli Smadja, Group Manager bei Check Point Research, ordnete die Gruppe so ein: „Die meisten Ransomware-Gruppen machen beim Start viel Lärm und verschwinden dann wieder. The Gentlemen sind anders." Nach seinen Worten hätten sie das Problem der Affiliate-Anwerbung gelöst, indem sie bessere Konditionen als andere im kriminellen Ökosystem böten. Auf dem Server eines Operators habe man über 1.570 kompromittierte Firmennetzwerke gefunden, die noch nicht öffentlich bekannt gewesen seien. Trend Micro hatte das Vorgehen der Gruppe bereits in einer Analyse beschrieben und ihr eine genaue Kenntnis der Zielumgebungen sowie die Bereitschaft zu tiefgehender Aufklärung und Werkzeuganpassung bescheinigt.
Parallel beschrieb Rapid7 die ebenfalls im September 2025 aufgetauchte Ransomware-Familie Kyber, die Windows- und VMware-ESXi-Infrastrukturen mit in Rust beziehungsweise C++ entwickelten Verschlüsselern angreift. Die ESXi-Variante ist auf VMware-Umgebungen zugeschnitten und beherrscht Datastore-Verschlüsselung, optionales Beenden virtueller Maschinen und das Verunstalten von Management-Oberflächen; die Windows-Variante enthält eine als „experimentell" bezeichnete Funktion gegen Hyper-V.
Nach Daten von ZeroFox wurden im ersten Quartal 2026 mindestens 2.059 Vorfälle mit Ransomware und digitaler Erpressung beobachtet, allein im März 747. Die aktivsten Gruppen waren Qilin (338), Akira (197), The Gentlemen (192), INC Ransom und Cl0p. Bemerkenswert ist laut ZeroFox, dass nordamerikanische Opfer im dritten Quartal 2025 rund 20 Prozent, im vierten Quartal 2025 nur 2 Prozent und im ersten Quartal 2026 wieder 13 Prozent der Angriffe von The Gentlemen ausmachten – was den üblichen regionalen Mustern anderer Erpresserkollektive widerspricht, bei denen mindestens die Hälfte der Opfer in Nordamerika sitzt.