LONDON (IT BOLTWISE) – Die Ransomware-as-a-Service-Gruppe „The Gentlemen“ entwickelt und verteilt EDR-Killer für Partner, um Systemabwehr vor der Verschlüsselung gezielt auszuschalten. Laut ESET nutzt das Täter-Framework „GentleKiller“ einen standardisierten Defense-Evasion-Layer mit gefälschten Versionen sowie kopierten Zertifikaten und Icons, um Erkennung zu umgehen. Besonders auffällig ist die schnelle Operationalisierung neuer PoCs inklusive BYOVD-Techniken, teils innerhalb weniger Tage. Parallel dazu warnt CERT/CC vor Secure-Boot-Bypass durch vendor-signierte UEFI-Anwendungen und empfiehlt DBX-Updates zur Vertrauensentziehung.
Im Kontext der jüngst wieder spürbarer gewordenen „Ransomware plus“ Dynamik fällt eine Meldung besonders auf: „The Gentlemen“ liefert nicht nur die Verschlüsselung nach, sondern baut ein regelrechtes Werkzeug-Ökosystem, das vorher gezielt Abwehrsysteme lahmlegt. Im Kern geht es um endpoint detection and response (EDR), die typischerweise genau dafür konzipiert sind, verdächtige Prozesse zu stoppen oder zumindest zu signalisieren. ESET beschreibt, dass die RaaS-Operation dafür eine Reihe von „EDR-terminating tools“ an Affiliates übergibt, die Systemverteidigung vor dem Einsatz des eigentlichen Encryptors gezielt aushebeln sollen. Das verschiebt die Hürde: Affiliates müssen nicht selbst tief in EDR-Bypässe investieren, sondern können auf ein standardisiertes Setup zurückgreifen.
Technisch wird die Strategie über ein Framework namens „GentleKiller“ greifbar. ESET verweist darauf, dass die Tools neben bereits kursierenden oder geleakten Komponenten wie „HexKiller“, „ThrottleBlood“ und „HavocKiller“ in eine gemeinsame Abwehrumgehungsschicht eingebettet sind. Diese Schicht imitiert vor allem Sicherheitsanbieter: gefälschte Versionsinformationen, kopierte legitime Zertifikate sowie Icons sollen den Eindruck konsistenter Vertrauenswürdigkeit erzeugen. Damit wird die Erkennung nicht nur über den Exploit selbst bekämpft, sondern bereits im „Identitäts“-Layer der Binärdateien. Im Ergebnis können die Angreifer die EDR-Killer als „plausibel“ erscheinen lassen, bevor Security-Controls überhaupt in ihre tieferen Prüfpfade geraten.
Ein weiterer Kernpunkt ist die schnelle Produktisierung neuer Schwachstellen. ESET ordnet „The Gentlemen“ als technisch besonders agil ein und nennt als Beispiel die ungewöhnlich zügige Operationalisierung neu veröffentlichter Proof-of-Concept-Exploits. Bei Bring Your Own Vulnerable Driver (BYOVD) bedeutet das: Sobald ein verwertbarer Treiberpfad öffentlich verfügbar ist, wird der Angriffspfad offenbar rasch in das Portfolio eingepasst. Das ist strategisch relevant, weil BYOVD eine klassische Hürde adressiert, die viele Angreifer sonst ausbremsen würde: das saubere Ausnützen langlebiger Treiberschwachstellen unter Wahrung möglichst glaubwürdiger Artefakte. Im Rückblick haben frühere BYOVD-Ansätze bereits gezeigt, dass Timing und Anpassungsfähigkeit entscheidend sind, um Erkennungsregeln zu überlisten, bevor Gegenmaßnahmen flächig greifen.
Markt- und Wettbewerbsseite zeigt ein Muster, das man in mehreren RaaS-Ökosystemen sieht: zentrale Entwicklung für Operatoren, standardisierte Übergabe an Affiliates. Genau das adressiert ESET in der Bewertung. Während viele Gruppen EDR-Killing an lokale Partner delegieren, „zentralisiert“ Gentlemen diese Funktion offenbar. Das senkt die Eintrittsbarriere für Affiliates und macht das Modell für deren Angriffsplanung kalkulierbarer. In der Folge steigen auch die Chancen, dass im Feld ein konsistenter Satz an Techniken in kurzer Zeit auftaucht, weil die Einstiegskosten sinken. Als Wettbewerbsreferenz lassen sich hier angrenzende Gruppen und Werkzeuge nennen, etwa Qilin als historischer Affiliate-Kontext oder Warlock, dem „HexKiller“ ursprünglich zugeschrieben wurde; außerdem tauchen in ähnlichen Ökosystemen stets wieder BYOVD-nahe Komponenten auf.
Für die konkrete EDR-Unterdrückung kommt es auf die Ausführung über bestimmte Treiber an. „GentleKiller“ existiert ESET zufolge in acht Varianten, die jeweils ein legitimes Produkt imitieren und dabei unterschiedliche vulnerable oder bösartige Treiber im BYOVD-Angriff nutzen. Besonders detailliert ist dabei die Zielsuche: GentleKiller arbeitet offenbar prozessbasiert und findet 400 Prozesse im Umfeld von 48 Sicherheitsprogrammen verschiedener Anbieter. Diese Kombination aus breiter Prozessabdeckung und präziser Driver-Nutzung ist für Defender besonders anspruchsvoll, weil statische Signaturmaßnahmen gegen einen einzelnen Dateinamen nur begrenzt helfen. Die Treiberliste umfasst unter anderem Varianten wie „kavoc.sys“ im Kaspersky-Umfeld, „nseckrnl.sys“ bei FACEIT Anti-Cheat sowie Treiberpfade wie „PoisonX.sys“ im G11-Kontext. Gerade „PoisonX.sys“ gilt als wiederkehrend, inklusive Verknüpfungen zu BYOVD-Kampagnen, bei denen auch CrowdStrike Falcon EDR betroffen gewesen sein soll.
Auch darüber hinaus verdichtet sich das Bild, dass BYOVD nicht isoliert betrachtet werden sollte. Berichte, die ESET in den Kontext einordnet, beschreiben Kampagnen, in denen Angreifer über legitime Fernwartungswege in Netzwerke eindrangen und dabei zunächst Sicherheitswerkzeuge ausschalteten, bevor sie Ransomware ausrollten. In einem Beispiel, das Huntress detailliert habe, soll „PoisonX.sys“ zusammen mit einem weiteren Treiber „hrwfpdrv.sys“ zur Terminierung von Sicherheitskomponenten eingesetzt worden sein. Ergänzend nennt ESET weitere EDR-nahe Komponenten wie „HexKiller“ („googleApiUtil64.sys“), „ThrottleBlood“ („ThrottleBlood.sys“) sowie „HavocKiller“/„HwAudKiller“ („chavoc.sys“). Dass solche Bausteine teils in Angriffen unterschiedlicher Ransomware-Familien auftauchen, spricht für eine Art wiederverwendbarer Komponentenwelt, in der Teams gegenseitig von Funktionsbausteinen profitieren.
Außerdem erweitert die Meldung das Bild über reine EDR-Killer hinaus. ESET nennt einen Rust-basierten Credential Stealer namens „OxideHarvest“ (auch „buildx641“), der Daten aus gängigen Browsern abgreifen kann, inklusive Google Chrome, Microsoft Edge und weiterer Varianten wie Brave oder Firefox-basierter Umgebungen. Das ist für Unternehmen relevant, weil der Schadenpfad nicht nur in der Erstunterdrückung von Abwehrsystemen liegt, sondern sich schnell in Richtung Zugriffsdaten, Session-Tokens und weiteren Hebeln ausdehnt. Aus Sicht von Security-Architektur bedeutet das: Selbst wenn das EDR-Killing abgewehrt wird, kann ein paralleler Zugriffspfad auf Identitäten weiterhin zu eskalierenden Folgeangriffen führen. In der Praxis zeigt sich damit ein typisches Zusammenspiel aus „Initial Access“, „Privilege/Defense Evasion“ und „Credential Access“, das man bei RaaS besonders häufig als orchestrierte Kette sieht.
Regulatorisch und betrieblich liefert die Veröffentlichung eine zweite, unabhängige Sicherheitswarnung: CERT/CC hat eine Advisory herausgegeben, die mehrere vendor-signierte UEFI-Anwendungen adressiert, die verwundbar gegen Secure-Boot-Bypass via BYOVD sein sollen. Laut CERT/CC kann ein Angreifer – mit administrativen Rechten oder physischem Zugang – betroffene Anwendungen ausnutzen, um in der frühen Pre-Boot-Phase beliebigen Code auszuführen, bevor das Betriebssystem initialisiert. Genau hier wird der Unterschied zwischen klassischem OS-Level-Hardening und Pre-Boot-Trust sichtbar: Bei Secure Boot geht es um den anfänglichen Vertrauensanker, nicht um spätere Laufzeitsignaturen. Die empfohlene Gegenmaßnahme lautet daher nicht „nur“ Detection-Engineering, sondern konkrete Updates zur UEFI Forbidden Signature Database (DBX), die das Vertrauen in die betroffenen signierten Binaries entziehen und deren Ausführung während des Bootprozesses verhindern sollen.
Für die Verteidigung ergibt sich daraus eine klare Priorisierung: Patch- und DBX-Management müssen als Teil einer durchgängigen „Trust Chain“-Strategie verstanden werden. Unternehmen sollten nicht nur EDR-Regeln prüfen, sondern auch ihre UEFI-Firmware- und Zertifikatsverwaltung aktualisieren, weil ein erfolgreiches Bypass-Szenario die nachgelagerten Schutzschichten zeitlich überholt. Ergänzend sollten Sicherheits-Teams die Annahmen über „signiert ist vertrauenswürdig“ verifizieren und in der Erkennung stärker auf Verhalten, Prozessketten und die Konsistenz von Artefakten setzen. Im Ausblick ist damit zu rechnen, dass RaaS-Operatoren ihre BYOVD-„Templates“ weiter verfeinern und schneller in neue PoCs integrieren, während Defender ihrerseits die Messlatte für Pre-Boot-Risiken erhöhen müssen. Kurz gesagt: Der Angriffszeitplan wird kürzer, aber die Gegenmaßnahmen werden nur dann wirksam, wenn Trust, Endpoint und Credential-Schutz als ein zusammenhängendes System behandelt werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Gentlemen-RaaS nutzt GentleKiller EDR-Killer via BYOVD" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Gentlemen-RaaS nutzt GentleKiller EDR-Killer via BYOVD" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Gentlemen-RaaS nutzt GentleKiller EDR-Killer via BYOVD« bei Google Deutschland suchen, bei Bing oder Google News!