SCHWEIZ / LONDON (IT BOLTWISE) – Neue Analysen zeigen, dass die Ransomware „The Gentlemen“ aus einer Affiliate-Struktur („Phantom Mantis“) hervorgeht und mittlerweile 478 Opfer beansprucht. Besonders kritisch: Die Täter kombinieren KI-gestützte Entwicklung mit Funktionen, die unter bestimmten Parametern einen Wurm-artigen Selbstverteiler aktivieren. Zusätzlich deuten Indizien auf harte Rollentrennung, aggressive Sichtbarkeits-Mechanismen im Underground und eine schnell anpassende Entwicklungszyklen hin.
Ein Ransomware-Betrieb, der zunächst wie eine austauschbare Affiliate-Komponente wirkte, entwickelt sich gerade zu einem eigenständigen, skalierenden Kriminellen-„Produkt“. Wie eine aktuelle Auswertung berichtet, startete „The Gentlemen“ mit einer Einheit namens „Phantom Mantis“ als Double-Extortion-Ableger. Damit verbunden ist die Nutzung verschiedener Ransomware-as-a-Service-Programme (RaaS) als Ressourcenquelle, darunter LockBit, Qilin und Medusa. Laut den bis jetzt zusammengetragenen Daten beansprucht das Team insgesamt 478 betroffene Organisationen; die Aktivität wird ab März 2025 verortet. Die entscheidende Verschiebung folgt im Sommer 2025, als Phantom Mantis in ein unabhängiges Partnerprogramm übergeht.
Technisch spannend ist dabei nicht nur der Wechsel vom Affiliate- in den Operator-Status, sondern die Art, wie Angriffsketten aufgebaut und durch KI unterstützt werden. Der in den Berichten genannte Anführer „LARVA-368“ soll in der Entwicklung und Wartung von Schadsoftware sowie in Post-Exploitation-Schritten stark auf KI zurückgreifen. Gleichzeitig wird LARVA-368 als zuvor in einer anderen Ransomware-Entität („Embargo“/Primeval Mantis) aktiv beschrieben; später erfolgt das Rebranding zu „The Gentlemen“. Solche Übergänge sind in der Szene typisch: Erfahrungen aus früheren RaaS-Implementierungen senken die Lernkurve, während neue Branding- und Tooling-Schichten die Tarnung verbessern und die Zielsteuerung effizienter machen.
Im Kern handelt es sich um eine hochadaptive Enterprise-orientierte Kette. Branchenanalysten ordnen The Gentlemen als schnell beweglich ein, die moderne Ransomware-Techniken mit RaaS-Features verschmilzt: Double Extortion, cross-plattformfähige Locker und flexible Propagation gehören dazu, ergänzt um Affiliate-Support. Wie dabei ein Angriff gestartet wird, variiert: Auswertungen nennen oft initialen Zugriff über internetexponierte Edge-Systeme oder gestohlene Zugangsdaten. Besonders im Fokus stehen Umgebungen rund um VMware-Infrastrukturen, während die Zielverteilung regional auffällig ist: Wenig US-Anteil, dafür stärkere Konzentrationen etwa in Thailand, Großbritannien, Brasilien, Deutschland und Indien.
Aus Market-Sicht ist die Strategie gleichzeitig marktlogistisch und wettbewerbsdynamisch. Die Betreiber sollen Sichtbarkeit in Untergrundforen über Premium-Accounts einkaufen, während Kommunikation und technischer Support über eine zweite Persona („The Gentlemen Data“) laufen. Für Affiliates existiert ein strenges, offenbar abschreckendes Onboarding: mindestens 1 GB Exfiltrationsdaten, um Zugang zur Affiliate-Plattform zu erhalten. Solche Gatekeeping-Mechanismen erschweren sowohl Forschern als auch Strafverfolgung den unmittelbaren Zugriff auf Infrastruktur, die sonst „nur“ durch Teilnahme am Partnerprogramm entstehen würde. Der Wettbewerb zu RaaS-Anbietern wie Qilin wird zugleich sichtbar: Berichte deuten sogar auf Streitigkeiten und mögliche Desinformationskampagnen zwischen den Beteiligten hin, um Affiliates abzuwerben.
Historisch betrachtet passt das Muster in eine breitere Entwicklung: RaaS senkte seit etwa 2019/2020 die Einstiegshürde für Kriminelle, während später „Operator“-Teams zunehmend eigene Toolchains und operative Rollen verfeinerten. The Gentlemen zeigt nun, wie sich diese Evolution mit modularen Phasenwerkzeugen fortsetzt. Offenbar existieren mehrere Ransomware-Versionen für Windows, Linux, ESXi, Windows XP+ und sogar LVM. Die Profitverteilung (genannt wird 90 % für Affiliates, 10 % für Operatoren) monetarisiert das Risikoverhalten der Partner. Zudem werden auch Verteidigungsumgehungen adressiert: von BYOVD-Ansätzen (Bring Your Own Vulnerable Driver) über EDR-Killer-Mechanismen bis zur Manipulation von Windows-Logs, Deaktivierung von Microsoft Defender und dem Setzen von Antivirus-Ausnahmen.
Ein wesentlicher technischer Hebel ist die Kryptographie- und Ausbreitungslogik. Berichten zufolge nutzt The Gentlemen ein hybrides Schema: X25519 für den Key-Exchange kombiniert mit XChaCha20 für symmetrische Verschlüsselung. Darüber hinaus wird ein „–spread“-Argument beschrieben, das die Malware vom Single-Host-Verschlüssler zu einem selbstpropagierenden Wurm umstellt, der erreichbare Systeme im Netzwerk mit dem Verschlüsselungsmodul adressiert. Ein „–wipe“-Flag soll nach der Verschlüsselung zusätzliche Routinen ausführen, um wiederherstellbare Artefakte auf dem Datenträger zu eliminieren. Solche Optionen erhöhen den Betriebsdruck auf Incident-Response-Teams, weil Zeitfenster und Forensikfenster schrumpfen.
Auch die Rollenverteilung wirkt wie ein „Engineering-Prozess“, nicht nur wie ein spontanes Verbrechen. Meldungen erwähnen Tools für Reconnaissance, Privilege Escalation, Credential Theft, Lateral Movement und Persistenz, die eine komplette Lifecycle-Abdeckung abbilden. Ergänzend werden Setups beschrieben, die auf Active-Directory-Discovery zielen, Zertifikatsmissbrauch unterstützen und Privilegeskalation in Gang setzen. Für Defense Evasion kommen weitere Module hinzu, während Velociraptor als Command-and-Control (C2) genannt wird. Solche Stack-Entscheidungen sind für Unternehmen relevant, weil sie konkrete Telemetriequellen erzeugen: Netzwerk-Patterns, Prozessketten und Log-Veränderungen lassen sich mit SIEM- und EDR-Regeln gezielt abbilden, sofern sie früh erkannt werden.
Für die Regulatory- und Privacy-Perspektive ist besonders gravierend, dass Double Extortion nicht nur Verschlüsselung bedeutet, sondern auch Datenexfiltration und Erpressung. Die geforderte Beteiligung am Exfiltrationsnachweis im Affiliate-Prozess unterstreicht, dass personenbezogene und geschäftskritische Daten sehr wahrscheinlich in den Fokus geraten. Unternehmen müssen daher nicht nur Ransomware-Resilienz planen, sondern auch rechtssichere Meldeprozesse und Datenschutzmaßnahmen vorbereiten: Wer in welchem Land welche Betroffenenrechte berührt, entscheidet oft schon im ersten Incident-Tag. Ebenso wichtig ist die Annahme, dass Angreifer Log- und Agenteninformationen manipulieren, weshalb Datenschutz-Folgenabschätzungen und Beweissicherung parallel laufen sollten.
Der Ausblick zeigt, warum das „Wurm“-Detail und der schnelle Entwicklungsrhythmus besonders ernst zu nehmen sind. Berichte nennen eine bemerkenswerte Reaktionsfähigkeit, etwa durch einen Same-Day-Patch nach Veröffentlichung eines Decryptors im April 2026. Die durchschnittliche Dwell Time wird auf zwei bis sechs Wochen geschätzt, was für viele Organisationen in eine Phase fällt, in der bestehende Baselines bereits „eingependelt“ sind und Anomalien leicht übersehen werden. Gleichzeitig wird ein Multi-Kanal-Erpressungsbetrieb vermutet, der zusätzlich zu technischen Aktionen auf E-Mail- und Telefon-Druck setzt. Für Entwickler und Verteidiger bedeutet das: Die nächsten Monate werden weniger von einzelnen Signaturen geprägt sein, sondern von robusten, verhaltensbasierten Kontrollen, die sowohl die Initial Access-Route als auch die Ausbreitungslogik abdecken.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Gentlemen-Ransomware: Phantom-Mantis-Affiliate wächst mit KI und Worm-Funktion" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Gentlemen-Ransomware: Phantom-Mantis-Affiliate wächst mit KI und Worm-Funktion" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Gentlemen-Ransomware: Phantom-Mantis-Affiliate wächst mit KI und Worm-Funktion« bei Google Deutschland suchen, bei Bing oder Google News!