LONDON (IT BOLTWISE) – Eine Ransomware-Gruppe namens „The Gentlemen“ gewinnt offenbar extrem schnell Marktanteile: Laut Sicherheitsforschung liegt sie nach Opferzahlen bereits auf dem zweiten Platz. Treibender Faktor ist ein ungewöhnlich großzügiges Rekrutierungsmodell, bei dem Affiliates bis zu 90 Prozent der Lösegeldzahlungen erhalten. Gleichzeitig deuten technische Hinweise auf eine konkrete Identität hinter dem Administratoren-Backend und dem zugehörigen RaaS-Panel hin. Der Vorfall zeigt, wie eng Bug- und Backend-Sicherheit, Zahlungsflüsse und forensische Spuren in der RaaS-Ökonomie miteinander verknüpft sind.
Die Ransomware-Szene verändert sich gerade weniger durch neue Verschlüsselungsalgorithmen als durch bessere Geschäftsmodelle. „The Gentlemen“ zählt nach jüngsten Auswertungen inzwischen zu den aktivsten Gruppen, gemessen an der Zahl veröffentlichter Opfer. Besonders auffällig ist das Rekrutierungskonzept: Die Betreiber sollen Affiliates mit einem überdurchschnittlichen Anteil am Lösegeld anziehen. Während in der Branche häufig eine 80/20-Aufteilung als Referenz gilt, berichten Analysten von einem Modell, das bis zu 90 Prozent an die Partner ausschüttet. Das wirkt wie ein Magnet für erfahrene „Operators“, die bereits aus konkurrierenden Programmen Know-how mitbringen.
Technisch betrachtet ist ein solches „Ransomware-as-a-Service“-Modell weniger eine einzelne Malware als eine komplette Lieferkette aus Komponenten. Dazu gehören ein RaaS-Panel, Prozesse für die Steuerung von Kampagnen, Zahlungsabwicklung und in vielen Fällen auch ein Backend für Status, Kommunikation sowie Updates. Wenn ein Administrator diese Infrastruktur zentral kontrolliert, lässt sich die Qualität der Angriffsdurchführung standardisieren: Affiliates erhalten Zugriff auf Dashboards, generieren oder erhalten Taktiken und koordinieren dann die eigentliche Ausnutzung. Genau hier wird es für Verteidiger relevant, denn das Backend ist gleichzeitig ein Single Point of Failure und eine Quelle für wiederkehrende Identitätsspuren.
Aus der Perspektive der Angriffsbetriebspraxis berichten Experten, dass „The Gentlemen“ besonders häufig bei extern erreichbaren Einstiegspunkten ansetzt. Als bevorzugte Ziele gelten demnach VPN- und Firewall-Umgebungen, die zwar für legitime Zugriffe gedacht sind, aber durch Fehlkonfigurationen, ungepatchte Schwachstellen oder unsichere Authentifizierung zur Einfallstür werden können. Sobald ein Angreifer hinein gelangt, folgt häufig ein beschleunigter Ablauf: Binnen Stunden soll die Verschlüsselung ganzer Netzsegmente erfolgen. Das spricht für vorab vorbereitete „Playbooks“, saubere Automatisierung und eine straffe Ausnutzungskette, die mancher traditionelle Security-Ansatz nur schwer in Echtzeit abfängt.
Der Marktkontext zeigt, warum ein so aggressives Modell schnell skaliert. In der RaaS-Ökonomie sind Recruiting und Reputation eng gekoppelt: Wer Affiliates gut bezahlt, bekommt zuverlässigere Partner, die weniger Zeit mit Experimente verbringen und schneller „gelernte“ Exploit-Ketten liefern. Damit entsteht ein Wettbewerb um Talent, ähnlich wie bei Vertriebskanälen im Softwaregeschäft. Konkret positioniert sich „The Gentlemen“ damit gegen andere bekannte RaaS-Programme wie LockBit oder ALPHV/BlackCat, die ebenfalls auf ein Partnernetzwerk setzen. Branchenbeobachter deuten an, dass eine derartige Margenpolitik nicht nur Wachstum fördert, sondern auch die Eintrittsbarrieren für neue Kampagnen senkt, weil erfahrene Operateure sofort belastbare Fähigkeiten mitbringen.
Für die forensische Einordnung ist die Frage nach dem „Wer“ entscheidend, aber selten sauber zu beantworten. Laut Sicherheitsforschung soll der Administrator und primäre Operator hinter „The Gentlemen“ auf russischsprachigen Foren unter einem bestimmten Alias geführt worden sein. Zusätzlich wird berichtet, dass dieser Akteur zuvor unter einem anderen Namen bekannt war. Ein besonders belastender Hinweis ergibt sich aus einem Backend-Vorfall: Durch eine Sicherheitslücke oder kompromittierte Komponenten in der RaaS-Infrastruktur sei sichtbar geworden, wer das System zusammensetzt, Zahlungen verwaltet und damit faktisch die Administratorrolle innehat. In der Praxis sind solche Datenlecks oft ein Zusammenspiel aus Authentifizierung, Berechtigungsmustern und wiederverwendeten Identitätsmarkern.
Historisch lohnt sich der Blick zurück: RaaS-Modelle haben sich seit den ersten Massenwellen nicht nur technologisch, sondern auch organisatorisch weiterentwickelt. Frühere Kampagnen setzten stark auf „Einmalangriffe“ durch einzelne Gruppen; später entstanden modularisierte Plattformen mit Rollenverteilung, die das Risiko auf viele Schultern verteilen. Gleichzeitig wurde die Infrastruktur ausgebaut: Zahlungsabwicklung, Leak-Management und Kommunikationskanäle wurden professionalisiert. Das heutige Rekrutierungsprinzip ist dabei eine direkte Folge dieser Professionalisierung. Wer den Admin kontrolliert, kontrolliert den Zahlungsfluss und kann über das Panel Standards setzen—und damit wird jedes Backend-Detail, das nach außen dringt, zum wahrscheinlichen Schlüssel für Ermittlungen.
Für Unternehmen ist die unmittelbare Konsequenz zweigeteilt: Erstens müssen sie die Angriffsfläche an Internet-Schnittstellen konsequent reduzieren, denn VPNs und Firewalls sind nicht nur Perimeter, sondern häufig „erste Station“ für RaaS-Kampagnen. Zweitens müssen sie intern auf schnelle Ausbreitung und Entdeckungsgeschwindigkeit optimieren. Wenn Verschlüsselung angeblich innerhalb weniger Stunden erfolgt, reicht reines Hardening ohne schnelle Detektion nicht aus; es braucht Instrumentierung, die auch während der frühen Intrusionsphase Alarm schlägt. Aus regulatorischer Sicht verschärft sich der Druck zusätzlich: Je nach Branche greifen Pflichten zu Incident Response, Meldefristen und Datenschutz, insbesondere wenn personenbezogene Daten im Zuge von Leak- und Erpressungsprozessen betroffen sind.
Der Ausblick ist dennoch nicht nur düster. Für Verteidiger entsteht aus dem beschriebenen Modell eine Art „Angriffslandkarte“: Wer eine RaaS-Plattform betreibt, muss Zahlungs- und Verwaltungslogik bereitstellen—und genau diese Routine kann überprüfbar und überwachsbar sein, etwa durch Monitoring von verdächtigen Interaktionen, ungewöhnlichen Berechtigungsereignissen oder Indikatoren für Panel-Aktivitäten im Netzwerkverkehr. Gleichzeitig könnten hohe Affiliate-Anteile den Anreiz erhöhen, dass Security-Teams gezielter nach wiederkehrenden TTPs suchen, weil sich Kampagnen stärker standardisieren. Die nächsten Monate werden zeigen, ob Ermittlungen zu „The Gentlemen“ das Recruiting anderer RaaS-Programme indirekt ausbremsen—oder ob die Szene mit neuen Namen und ähnlichen Backend-Strukturen nachzieht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Gentlemen-Ransomware: Rekrutierungsmodell treibt Wachstum und enthüllt Admin-Spuren" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Gentlemen-Ransomware: Rekrutierungsmodell treibt Wachstum und enthüllt Admin-Spuren" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Gentlemen-Ransomware: Rekrutierungsmodell treibt Wachstum und enthüllt Admin-Spuren« bei Google Deutschland suchen, bei Bing oder Google News!