Хакери използват рансъмуера „Gentlemen“, за да деактивират Windows Defender и да унищожат архивни копия

Операция с рансъмуер, известна като The Gentlemen, използва комбинация от манипулиране на сигурността, прекъсване на услуги и криптиране на файлове, за да затрудни възстановяването на засегнатите организации.

Зловредният софтуер за Windows може да изключва защитата в реално време на Microsoft Defender, да добавя широки изключения, които намаляват сканирането, да спира услуги, свързани с резервни копия, и да изтрива сенчести копия на томове (Volume Shadow Copies). Тези стъпки отслабват защитата и премахват обичайните начини за възстановяване на файлове след криптиране.

Зловредният софтуер също така се прицелва в повече от просто файлове. Той може да изчиства дневниците на събитията (event logs) и други системни записи, от които разследващите може да се нуждаят, за да разберат какво се е случило.

Групата използва модел на двойно изнудване: атакуващите могат както да откраднат данни, така и да ги криптират, увеличавайки риска от публично разкриване дори когато жертвата разполага с резервни копия. Тази последователност напомня, че успешният отговор на инцидент с рансъмуер зависи от защитата както на системите, така и на данните за възстановяване.

Анализатори от отдела за изследване на заплахите на Acronis (Threat Research Unit) идентифицираха тези поведения в своя технически анализ на рансъмуера The Gentlemen и свързаните с него инструменти. Докладът описва базирана на Go операция от тип „рансъмуер като услуга“ (ransomware-as-a-service), която се появи през 2025 г. и е насочена срещу системи с Windows, Linux, мрежови хранилища (NAS) и BSD.

От Acronis съобщават, че групата твърди, че има над 800 жертви, въпреки че тази цифра отразява твърденията на самата група, а не независимо потвърдени инфекции.

При Windows рансъмуерът прави опити да деактивира мониторинга в реално време на Defender и да добави своя процес и дял C: към списъка с изключения.

Това може да позволи на зловредния софтуер да се изпълнява с по-малко смущения, докато се подготвя да криптира файлове. Той също така спира избрани процеси и услуги, свързани с инструменти за сигурност, бази данни, виртуални машини, електронна поща и продукти за архивиране.

Cyber Security News по-рано отрази как операторите на Gentlemen деактивират защитите и услугите за архивиране по време на прониквания.

Въздействието не се ограничава само до софтуера за сигурност. Спирането на услуги за бази данни или виртуализация може да освободи файлове за криптиране, докато прекъсването на софтуера за архивиране може да попречи на изпълнението на рутинните задачи по възстановяване.

Хакери използват рансъмуера Gentlemen

Преди криптирането зловредният софтуер също така се опитва да премахне наличните Volume Shadow Copies, които Windows може да използва за възстановяване на по-ранни версии на файлове.

Той може да изчиства избрани регистрационни файлове на Windows, prefetch данни и историята на командите в PowerShell, намалявайки локалните доказателства, достъпни за специалистите по реагиране на инциденти.

Acronis установи, че рансъмуерът може да осигури устойчиво присъствие (persistence) чрез планирани задачи (scheduled tasks) и записи в системния регистър за автоматично стартиране на Windows. Той може също да търси свързани дискови устройства и, когато се използва съответната опция, споделени мрежови ресурси.

С активирана функция за разпространение той може да идентифицира домейн и да използва PsExec, за да копира и стартира рансъмуера на други работни станции.

Това поведение свързва една компрометирана машина с по-широк мрежов риск – модел, подробно описан и в материалите на Cyber Security News относно разпространението на рансъмуера Gentlemen в мрежи.

Процесът на криптиране е проектиран да протича бързо. В доклада се посочва, че файлове под 1 MB се криптират изцяло, докато по-големите файлове могат да се криптират на части.

Зловредният софтуер използва ChaCha20 за криптиране на файловете и елиптична криптография за защита на ключовете за файловете. Криптираните файлове получават разширение, което може да варира между отделните компилации, а зловредният софтуер оставя съобщение с искане за откуп в засегнатите папки.

Acronis идентифицира и отделен инструмент, използван за прекратяване на процеси за сигурност. Той разполага уязвими драйвери, инсталира ги като услуги и ги използва за спиране на избрани процеси на ниво ядро (kernel level).

Единият драйвер е свързан с Safetica ProcessMonitorDriver, асоцииран в доклада с CVE-2025-70795; другият е BootRepair.sys на Lenovo.

Техниката е известна като „използване на собствен уязвим драйвер“ (bring your own vulnerable driver): атакуващите злоупотребяват с драйвер, съдържащ слабост, за да извършват действия, които обикновените инструменти на потребителско ниво не биха позволили. За повече контекст вижте доклада на Cyber Security News относно уязвимите драйвери, използвани срещу EDR.

За защитниците предупредителните признаци включват неочаквани промени в настройките на Defender, спиране на услуги за сигурност или архивиране, инсталиране на непознати драйвери, изчистване на дневници и бързи промени във файловете на множество системи.

Организациите трябва да разследват

Организациите трябва да разследват тези събития комплексно, а не като изолирани сигнали. Acronis препоръчва поддържането на активни инструменти за откриване на заплахи на крайни точки (EDR), инсталиране на корекции за сигурност на системите и драйверите, ограничаване на административния достъп, наблюдение на PowerShell и инструментите за отдалечено администриране, както и сегментиране на мрежите с цел ограничаване на разпространението.

Резервните копия трябва редовно да се тестват и да бъдат защитени с контроли за достъп, които не позволяват на обикновени компрометирани системи да ги изтриват или променят.

Съхраняването на критично важни копия офлайн или изолирани от производствената среда може да запази възможността за възстановяване, ако атакуващите получат достъп до администраторски акаунти. Microsoft също така съветва след инциденти с рансъмуер да се извършва възстановяване от проверени офлайн или неизменяеми (immutable) резервни копия.

Тези мерки не могат да предотвратят всяко проникване, но могат да намалят вероятността едно компрометирано устройство да доведе до продължителен срив в работата.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено деактивирани (defanged, напр. [.]), за да се предотврати случайно разрешаване на имена или превръщането им в хипервръзки. Възстановявайте ги само в контролирани платформи за анализ на киберзаплахи като MISP, VirusTotal или вашата SIEM система.

Актуализирайте защитите си срещу нов зловреден софтуер веднага след появата му. Интегрирайте потоци с разузнавателни данни за заплахи (TI Feeds) с данни от 16K центрове за операции по сигурността (SOC).