LONDON (IT BOLTWISE) – Eine Analyse zeichnet ein klares Bild: Die Ransomware-Operation The Gentlemen begann als Affiliate-Programm und wandelte sich später zu einem eigenständigen RaaS-Model mit ausgeprägter Werkzeugkette. Laut Auswertungen sollen insgesamt 478 Opfer bislang zugeordnet sein, während die Täter gleichzeitig eine schnelle Weiterentwicklung ihrer Technik demonstrieren. Besonders brisant ist der Hinweis, dass der Admin-Akteur stark KI-gestützt an Entwicklung und Nachbereitung arbeitet.
Die Ransomware-Kampagne The Gentlemen wird in der Sicherheitsbranche zunehmend als Beispiel dafür gesehen, wie sich aus einem anfänglichen „Affiliate“-Programm binnen weniger Monate eine eigenständige, stark organisierte Plattform entwickeln kann. Wie aus einer Auswertung hervorgeht, agierte ein Akteur, der in der Analyse zunächst unter dem Namen Phantom Mantis geführt wird, zunächst als Zulieferer für Double-Extortion-Angriffe und nutzte Ressourcen aus mehreren Ransomware-as-a-Service-Angeboten. Der Schritt hin zur Selbstständigkeit ist damit nicht nur organisatorisch, sondern auch technisch relevant: Ein eigenes Ökosystem erlaubt den Betreibern, Tooling, Zugriffswege und Support-Prozesse eng zu verzahnen, statt sich auf externe Anbieter zu verlassen.
Technisch betrachtet fällt vor allem die Kombination aus klassischer Verschlüsselung und „worm-artiger“ Verbreitungslogik auf. In Berichten wird beschrieben, dass die Schadsoftware beim Start mit einem speziellen Argument von einem Single-Host-Encryptor zu einem selbstpropagierenden Wurm werden kann, der erreichbare Systeme im Netzwerk gezielt mit einer eigenen Encryptor-Komponente kontaktiert. Zusätzlich nennt die Analyse optionale Routinen zur Entfernung potenziell wiederherstellbarer Artefakte nach der Verschlüsselung. Als kryptografisches Rückgrat wird ein hybrides Schema genannt: X25519 für den Schlüsselaustausch und XChaCha20 für die symmetrische Absicherung. Für Blue-Team-Teams ist das wichtig, weil sich dadurch sowohl Muster in der Netzwerkkommunikation als auch in lokalen Artefakten verändern.
Auch die Angriffslogik zeigt ein Enterprise-getriebenes Vorgehen. Branchenanalysten ordnen The Gentlemen als hoch anpassungsfähige Operation ein, die Initial Access typischerweise über internetnahe Angriffsflächen oder kompromittierte Zugangsdaten erlangt. In der Folge sollen Taktiken dynamisch wechseln können, etwa durch Manipulation von GPOs, das Ausnutzen privilegierter Konten oder eigene Wege, um Endpoint-Schutzmaßnahmen zu umgehen. Ein weiterer Punkt ist die Ausrichtung auf VMware-Infrastrukturen, was in Unternehmen häufig mit komplexen Berechtigungs- und Managementpfaden einhergeht. Als Wettbewerbsreferenz wird sichtbar, wie eng das Täter-Ökosystem mit RaaS-Playern wie LockBit, Qilin und Medusa verknüpft war; in solchen Umgebungen entscheidet Timing oft darüber, welche Tools gerade „salonfähig“ sind.
Marktseitig ist die Entwicklung über den Affiliate-Status hinaus deshalb so bedeutsam, weil sie die Skalierbarkeit erhöht und die Qualitätssicherung verbessert. Die Auswertung nennt insgesamt 478 als bislang bekannte Opfer, basierend auf aggregierten Tracker-Daten. Microsoft verfolgt den Cluster zudem unter einem eigenen Tracking-Namen und beschreibt, dass der Code in Go umgesetzt und für die Windows-Umgebung obfuskiert wird; zugleich wird auf die Möglichkeit verwiesen, dass mit einem Verbreitungsparameter Netzwerke systematisch angegangen werden. Für Sicherheitsverantwortliche heißt das: Detektionsstrategien dürfen nicht nur auf „einmalige“ Verschlüsselungsmuster trainiert werden, sondern müssen auch Ausbreitungsversuche, Credential-Missbrauch und Toolketten im Vorfeld abdecken.
Für Unternehmen ist ebenso relevant, wie die Kampagne den operativen Support organisiert. In der Analyse heißt es, dass es Kommunikationskanäle gibt, über die Affiliates zu Verschlüsselung und Post-Exploitation-Fragen unterstützt werden; dazu werden mehrere Open-Source-Messaging-Plattformen genannt, über die sowohl technische Hinweise als auch Eskalationen laufen können. Außerdem wird beschrieben, dass potenzielle Affiliates vor dem Erhalt des Panels mindestens Datenexfiltration im Umfang von 1 GB nachweisen müssen – offenbar als Hürde, um Forschungseinblicke und Ermittlungszugriffe zu erschweren. Diese Mechanik verschiebt die Kosten-Nutzen-Rechnung für Angreifer zugunsten der Täter, weil sie nur solche Teams „durchlässt“, die bereits Beweise des Zugriffserfolgs liefern können.
Der „RaaS“-Charakter zeigt sich nicht nur im Geschäftsmodell, sondern auch in der Werkzeugvielfalt. Berichtet wird über getrennte Toolsets für Reconnaissance, Rechteausweitung, Lateral Movement und Defense-Evasion, ergänzt durch Techniken wie BYOVD (bring your own vulnerable driver) zum Umgehen von Schutzprodukten. Hinzu kommen Versuche, Event-Logs zu löschen beziehungsweise unauffällig zu machen sowie Microsoft Defender auszuschalten und Antiviren-Ausnahmen zu ergänzen. Die Angreifer nutzen damit einen mehrphasigen Intrusion-Lifecycle, der von Discovery und Zertifikatsmissbrauch bis zur Persistenz reicht. Für die Abwehr bedeutet das: Es genügt nicht, nur die finale Verschlüsselungsphase zu blockieren; entscheidend ist die frühzeitige Erkennung ungewöhnlicher Verwaltungs- und Discovery-Schritte.
Regulatorisch und datenschutzbezogen verschärft sich das Risiko, weil Double Extortion häufig auch die Veröffentlichung oder Monetarisierung von personenbezogenen oder geschäftskritischen Daten einschließt. Selbst wenn der konkrete Datentyp nicht in jeder Meldung genannt wird, folgt aus dem beschriebenen Exfiltrations- und Support-Setup, dass personenbezogene Informationen sowie Verfügbarkeits- und Integritätsverletzungen entstehen können. In der EU müssten betroffene Organisationen daher je nach Kontext Pflichten zur Meldung an Aufsichtsbehörden und zur Information von Betroffenen prüfen, während zugleich forensische Beweise gesichert werden sollten, bevor Logbereinigung und Ticket-„Dwell“-Fenster den Zugriff erschweren. Damit wird Incident Response zur Compliance-Frage, nicht nur zu einer technischen Aufgabe.
Der Blick nach vorn legt nahe, dass der „lernende“ Charakter der Entwicklung weiter zunimmt. Die Analyse betont, dass der führende Admin-Akteur stark KI-gestützt arbeiten soll, sowohl für die Entwicklung und Wartung von Ransomware und Tools als auch für Unterstützung nach der Kompromittierung. Zusätzlich wird eine hoch responsive Entwicklungsphase beschrieben, einschließlich kurzer Zeiträume zwischen zentralen Releases und Patches. Für die Zukunft bedeutet das: Verteidigungsteams müssen ihre Detection-Engineering-Zyklen beschleunigen, klassische Signaturen mit Verhaltenserkennung kombinieren und besonders VMware- und Edge-Zugriffspfade engmaschig überwachen. Da die Dwell Time laut Berichten häufig zwischen zwei und sechs Wochen liegt, entscheidet jede Woche über die Schadenhöhe – und damit über Wiederherstellungskosten und regulatorische Folgen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Gentlemen-Ransomware entwickelt sich vom Affiliate zum eigenständigen RaaS" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Gentlemen-Ransomware entwickelt sich vom Affiliate zum eigenständigen RaaS" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Gentlemen-Ransomware entwickelt sich vom Affiliate zum eigenständigen RaaS« bei Google Deutschland suchen, bei Bing oder Google News!