Neue Ransomware-Bande „The Gentlemen" wächst rasant zur ernsten Bedrohung

Zusammenfassung

Die Ransomware-Gruppe The Gentlemen ist erst seit Mitte 2025 aktiv, hat sich aber in wenigen Monaten bereits als auffallend produktiver Akteur im RaaS-Markt etabliert. Laut Check Point Research beansprucht die Bande Hunderte Opfer; Telemetriedaten zu der von ihr genutzten Malware SystemBC verweisen zudem auf ein Botnetz mit mehr als 1.570 kompromittierten Systemen. Betroffen sind nach Einschätzung der Forscher vor allem Unternehmens- und Organisationsumgebungen, nicht opportunistisch ausgewählte Privatnutzer. Technisch setzt The Gentlemen auf doppelte Erpressung durch Verschlüsselung und Datenabfluss, kombiniert mit fortgeschrittenen Taktiken wie Antivirus-Killern, komplexen Infektionsketten, lateralem Bewegungsspielraum im Netzwerk und der Verteilung der Ransomware über Active Directory-Gruppenrichtlinien, um sie gleichzeitig auf allen Rechnern einer Domäne auszulösen. Check Point analysierte außerdem eine speziell für VMware-ESXi-Hosts gedachte Variante, die auf VirusTotal mehrheitlich unerkannt blieb. Relevant ist der Fall, weil The Gentlemen nach Einschätzung mehrerer Forscher in außergewöhnlich kurzer Zeit eine operative Schlagkraft aufgebaut hat, mit der auch weniger versierte Affiliates groß angelegte Angriffe auf Unternehmen fahren können — insbesondere gegen Behörden, Bildungseinrichtungen, Gesundheitsunternehmen und Hersteller weltweit.

Für eine so neue Gruppe fällt The Gentlemen durch ungewöhnlich hohe Schlagzahl auf. Forscher von Comparitech zählten im vergangenen Quartal 202 beanspruchte Angriffe – nur die Gruppe Qilin lag mit 353 darüber. Die NCC Group verzeichnete 34 Angriffe im Januar und 67 im Februar; damit bewegte sich The Gentlemen auf Augenhöhe mit etablierteren Akteuren wie Cl0p und Akira.

Dillon Ashmore, Analyst für Cyber-Bedrohungsaufklärung bei der NCC Group, zieht gegenüber Dark Reading einen Vergleich zur 2023 aufgetauchten RaaS-Gruppe DragonForce: The Gentlemen zeige „alle Anzeichen dafür, sich als feste Größe im Ransomware-Ökosystem zu etablieren", trete aber „in deutlich größerem Maßstab und mit höherer Raffinesse" auf, als DragonForce es im selben Stadium gezeigt habe. „DragonForce brauchte fast zwei Jahre, um 150 Opfer zu überschreiten. The Gentlemen erreichte diese Marke in neun Monaten", so Ashmore. Das spreche für die Fähigkeit der Gruppe, ein hohes Aktivitätsniveau zu halten, ohne von typischen Störungen wie abtrünnigen Partnern, beschlagnahmter Infrastruktur oder internen Streitigkeiten ausgebremst zu werden.

In dem von Check Point untersuchten Angriff verschaffte sich ein Partner der Gruppe zunächst Zugang – den genauen Einstiegsvektor konnten die Forscher nicht bestimmen – und brachte dann SystemBC auf dem kompromittierten System unter. Die Malware errichtete SOCKS5-Netzwerktunnel, verband sich mit den C2-Servern und lud weiteren Schadcode nach. Die früheste bestätigte Aktivität zeigte die Angreifer mit Administratorrechten auf einem Domänencontroller, von wo aus sie das Netzwerk auskundschafteten, sich seitlich ausbreiteten, per PowerShell-Befehl Windows-Schutzfunktionen abschalteten und schließlich über SystemBC und Cobalt Strike die Ransomware in Stellung brachten.

Besonders wirkungsvoll ist laut Check Point die Fähigkeit, über die Gruppenrichtlinien des Active Directory die Ransomware „gleichzeitig auf jedem Rechner der Domäne zu zünden" – die Forscher bezeichnen dies als die durchschlagskräftigste Verbreitungsmethode der Schadsoftware. Die in Go geschriebene Ransomware wird laufend weiterentwickelt und deaktiviert zur Verankerung im System unter anderem Windows Defender, die Windows-Firewall sowie die Überwachung des Laufwerks C. Check Point analysierte zudem eine eigene Variante für VMware-ESXi-Hosts, die laut VirusTotal von den meisten Antivirensystemen nicht erkannt wird – auch weil sie alle ESXi-Maschinen kontrolliert herunterfährt und die automatische Wiederherstellung abschaltet.

Trotz aller Raffinesse fehlen The Gentlemen nach Einschätzung von Jason Baker (GuidePoint Security) einige Merkmale dauerhaft erfolgreicher Gruppen: Verhandlungen liefen über qTox oder Session statt über eine eigene Chat-Infrastruktur, und die Präsenz auf Twitter/X gelte als unnötiges Risiko für die operative Sicherheit, das man eher unreiferen Akteuren zuschreibe. Auch der weiterhin genutzte Cobalt Strike sei durch verbreitete Erkennungsmechanismen weitgehend bedeutungslos geworden.

Eli Smadja von Check Point Software verweist darauf, dass die Gruppe 90 Prozent der Erpressungseinnahmen an ihre Partner ausschütte und damit besonders attraktiv bleibe. Als Schutzmaßnahmen empfiehlt er, ins Internet exponierte Systeme genau zu überwachen und auf strikte Netzwerksegmentierung zu setzen. Rebecca Moody von Comparitech nennt The Gentlemen „eine der größten Gruppen, die man dieses Jahr im Auge behalten sollte", und sieht eine zentrale Bedrohung für Behörden, Bildungseinrichtungen, Gesundheitsunternehmen und Hersteller weltweit. Der Blogbeitrag von Check Point enthält zudem Kompromittierungsindikatoren.

Neue Ransomware-Bande „The Gentlemen" wächst rasant zur ernsten Bedrohung

Ähnliche Artikel

Neueste Artikel