The Gentlemen hat sich seit seinem Auftauchen Mitte 2025 rasant zu einer Tier-1-Ransomware-Bedrohung entwickelt. Die Gruppe agiert primär als äußerst aggressive Ransomware-as-a-Service (RaaS) und zeichnet sich durch eine beispiellose 90/10-Umsatzaufteilung für Affiliates, aggressive Rekrutierungskampagnen, dauerhafte Affiliate-Loyalität und den Vertrieb einer fortschrittlichen, zentralisierten Endpoint-Detection-and-Response-(EDR)-Killer-Suite namens GentleKiller aus.

Diese Bedrohungsanalyse von Shieldworkz bestätigt, dass The Gentlemen ein kritisches und unmittelbar bevorstehendes Risiko für globale Unternehmen und KRITIS-Betreiber weltweit darstellt. Der Encryptor verfügt über autonome, wurmartige Fähigkeiten zur lateralen Bewegung, die es ihm ermöglichen, sich schnell auszubreiten und Active-Directory-Strukturen sowie angebundene Operational-Technology-(OT)-Umgebungen innerhalb weniger Stunden nach dem Erstzugriff zu kompromittieren. Jüngste Vorfälle, darunter der Ausfall von Mackay Sugar im Juni 2026, belegen die Fähigkeit der Gruppe, schwerwiegende cyber-physische Betriebsunterbrechungen herbeizuführen. IT-Sicherheitsteams und Entscheidungsträger müssen Gegenmaßnahmen zur Umgehung von Sicherheitsmechanismen, eine strikte IT/OT-Segmentierung und ein konsequentes Credential-Zertifikatsmanagement dringend priorisieren, um dieser sich schnell verbreitenden Bedrohung entgegenzuwirken.

Überblick über den Bedrohungsakteur

• Ursprung: Entstand Mitte 2025 als private Cybercrime-Zelle, bevor im September 2025 der Übergang zu einem formellen RaaS-Modell erfolgte.

• Aliase: Storm-2697 (Microsoft), Zeta88 / Hastalamuerte (vermuteter Administrator).

• Entstehung: Es wird angenommen, dass die Gruppe von einem unzufriedenen ehemaligen Qilin-Affiliate gegründet wurde (was das affiliate-orientierte Umsatzbeteiligungsmodell erklärt) und Akteure von Embargo, LockBit, Medusa und BlackLock absorbiert hat.

• Ransomware-Familie: Proprietärer, in Go geschriebener Encryptor, obfuskiert mit Garble.

• Partnerschaften: Offizielle Kooperation mit dem BreachForums-Marktplatz zur Rekrutierung von Penetrationstestern und Initial Access Brokers (IABs).

• Geografische Präsenz: Globale Auswirkungen mit einem Schwerpunkt auf Südostasien, Südamerika, Westeuropa und Australien. Angriffe auf Staaten der Gemeinschaft Unabhängiger Staaten (GUS) sind explizit untersagt.

• Operationelle Reife: Technisch hochgradig ausgereifte Werkzeuge, jedoch gemischte Operational Security (OPSEC). Kürzlich kam es zu einem erheblichen Datenabfluss auf der eigenen Backend-Leak-Seite der Gruppe, wodurch interne Korrespondenz und Affiliate-Daten offengelegt wurden.

 Was macht The Gentlemen einzigartig?

The Gentlemen weist mehrere charakteristische Merkmale auf, die die Gruppe von Mitbewerbern wie LockBit, Akira oder Black Basta abheben:

• Aggressives Erlösmodell: Die Gruppe bietet eine 90/10-Umsatzaufteilung (im Vergleich zum Branchenstandard von 80/20). Dieses hochlukrative Modell hat zu einer Massenabwanderung führender Affiliates von konkurrierenden RaaS-Programmen geführt.

• Zentralisierte Abwehrumgehung: Anstatt darauf zu vertrauen, dass Affiliates ihre eigenen Werkzeuge zur Umgehung von Sicherheitslösungen mitbringen, stellt The Gentlemen mit GentleKiller eine standardisierte, intensiv gepflegte Suite von Tools zur Deaktivierung von EDR bereit. Dies senkt die Eintrittsbarriere für Affiliates erheblich.

• Autonome Weiterverbreitung: Der Go-basierte Encryptor enthält integrierte, parallele Funktionen zur Selbstverbreitung. Nach der Ausführung startet er automatisierte Unterroutinen zur lateralen Bewegung über benachbarte Subnetze hinweg, wodurch eine manuelle administrative Verteilung (wie über benutzerdefinierte PsExec- oder Gruppenrichtlinienobjekte) überflüssig wird.

• Schnelle BYOVD-Waffenfähigkeit: Die Gruppe setzt neu offengelegte Bring-Your-Own-Vulnerable-Driver-Exploits (BYOVD) regelmäßig innerhalb weniger Tage nach ihrer Veröffentlichung operativ ein.

• Ausgedehnte Ruhephasen: Diese Gruppe ist dafür bekannt, nach einer Angriffsserie inaktiv zu bleiben, um dann plötzlich wieder aufzutauchen und neue Opfer zu verkünden.

Mehrere Faktoren deuten darauf hin, dass The Gentlemen versucht, sich als Nachfolger von LockBit zu positionieren, anstatt nur eine weitere Ransomware-Operation darzustellen. Die Gruppe besetzt zunehmend die Lücke, die durch den weitgehenden Rückzug von LockBit entstanden ist.

Ihre aggressive Affiliate-Ökonomie, die schnelle Operationalisierung öffentlicher Exploit-Forschung, zentralisierte Werkzeuge zur Beeinträchtigung von EDR und die verstärkte Rekrutierung erfahrener Akteure deuten auf das Bestreben hin, frei gewordene Ransomware-Spezialisten (und deren Taktiken) nach den verstärkten Strafverfolgungsmaßnahmen gegen etablierte RaaS-Ökosysteme zu konsolidieren.

Im Gegensatz zu vielen neu entstehenden Ransomware-Gruppen, die stark auf Branding und sensationelle Enthüllungen setzen, scheint The Gentlemen über operative Effizienz zu konkurrieren.

Das standardisierte GentleKiller-Framework verringert die Abhängigkeit der Affiliates von individuellen Werkzeugen, was zu konsistenteren Angriffsvektoren und potenziell schnelleren Bereitstellungszeiten führt.

Falls der aktuelle Rekrutierungstrend anhält, ist in den nächsten 6 bis 12 Monaten mit einer Erhöhung der operativen Schlagzahl und der Opferzahlen zu rechnen.

Zielgruppenanalyse

The Gentlemen agiert opportunistisch, verzeichnet jedoch eine hohe Erfolgsquote bei Organisationen mit komplexen, unzureichend segmentierten Netzwerken.

• Bevorzugte Branchen: Fertigungsindustrie, Agrarindustrie (Zuckerproduktion), Gesundheitswesen, Pharmazeutik, Bauwesen, Bildungswesen und Transportwesen.

• Unternehmensgrößen: Mittelstand bis hin zu großen Fortune-500-Konzernen.

• Kritische Infrastrukturen (KRITIS) und OT: Es gibt einen deutlichen Trend zur gezielten Angriffsführung gegen die Schwerindustrie und agraringenieurstechnische Umgebungen. Der jüngste Angriff auf Mackay Sugar unterstreicht den Fokus auf Sektoren, in denen Ausfallzeiten unmittelbar zu massiven finanziellen Verlusten führen.

• Geografischer Fokus: Bislang mehr als 500 gemeldete Opfer mit einer starken Konzentration auf den asiatisch-pazifischen Raum (APAC), Europa und Amerika.

Angriffslebenszyklus und MITRE-ATT&CK-Referenzierung

Technische Taktiken, Techniken und Prozeduren (TTP-Analyse)

Die technischen Methoden der Gruppe stützen sich in hohem Maße auf Geschwindigkeit und Umgehung von Sicherheitsfunktionen.

• Ausführung über die Befehlszeile: Der Encryptor erfordert zur Ausführung ein Passwort, was eine automatisierte Sandbox-Analyse verhindert. Operatoren nutzen spezifische Flags wie --system (lokale Volume-Verschlüsselung via geplantem Task) und --shares (Netzwerkfreigaben-Verschlüsselung).

• Beeinträchtigung von EDR: Das GentleKiller-Framework integriert abgeflossene Werkzeuge wie HexKiller, ThrottleBlood und HavocKiller. Es nutzt eine gemeinsame Schicht zur Umgehung von Sicherheitsmechanismen und kopiert legitime Symbole sowie Versionsinformationen, um statische Heuristiken zu umgehen.

• Forensische Bereinigung: Vor der Verschlüsselung deaktiviert die Schadsoftware systematisch den Microsoft Defender, löscht Schattenkopien (VSS) und leert die Windows-Ereignisprotokolle, um Maßnahmen zur Vorfallsreaktion (Incident Response) zu behindern.

• Kryptografische Architektur: Durch das Generieren eines einzigartigen, temporären Schlüsselpaars für jede Datei und das Ableiten eines gemeinsamen Geheimnisses über den eingebetteten öffentlichen Schlüssel des Operators stellt die Gruppe sicher, dass eine Entschlüsselung ohne den Master-Schlüssel mathematisch unmöglich ist.

Indicators of Compromise (IOCs)

Hinweis: Aufgrund der weitreichenden Nutzung temporärer Infrastrukturen und randomisierter Kompilierung sollten Verteidiger verhaltensbasierten Erkennungen Vorzug vor statischen Hashes geben.

• Dateiendung: .umc16h (an verschlüsselte Dateien angehängt)

• Geplante Aufgabe (Scheduled Task): gentlemen_system (erstellt, um die Binärdatei unter SYSTEM-Rechten auszuführen)

• Befehlszeilenparameter: --system, --shares

• EDR-Killer-Framework: GentleKiller (Achten Sie auf unerwartete Treiberladevorgänge im Zusammenhang mit bekannten, anfälligen Kernel-Treibern).

Auswirkungen auf Operational Technology (OT)

Die Gentlemen-Gruppe entwickelt typischerweise keine maßgeschneiderte, ICS-spezifische Schadsoftware (wie PIPEDREAM oder TRISIS). Ihre Auswirkungen auf die OT sind jedoch durch indirekte Störungen gravierend.

Während des Mackay-Sugar-Vorfalls im Juni 2026 kompromittierten die Akteure zentrale Unternehmenssysteme, die Koordinierung der Rohstoffzufuhr und Logistikplattformen. Durch die Lahmlegung dieser IT-seitigen Dispositions- und Historian-Datenbanken zwangen die Angreifer den Betreiber zu einer physischen Werksschließung, ohne direkt eine einzige speicherprogrammierbare Steuerung (SPS / SCADA/PLC) oder einen Frequenzumrichter manipuliert zu haben.

• Auswirkungen von Ausfallzeiten: Wenn IT-Systeme, die MES (Manufacturing Execution Systems) oder SCADA-Datenquellen enthalten, verschlüsselt werden, verlieren die Bediener die für den sicheren Betrieb physischer Prozesse erforderliche Sichtbarkeit, was eine kontrollierte Abschaltung zwingend erforderlich macht.

• Sicherheitsrelevante Auswirkungen: Die schnelle, wurmartige Verbreitung kann unbeabsichtigt die Bandbreite des OT-Netzwerks überlasten, was zu lokalen Denial-of-Service-Zuständen auf kritischen Engineering-Workstations führen kann.

Erkennungsmöglichkeiten

Sicherheitsteams müssen ihre Sichtbarkeit optimieren, um die Vorläuferaktivitäten von The Gentlemen frühzeitig zu erkennen:

• EDR / SIEM: Eskalation bei Generierung der geplanten Aufgabe gentlemen_system.

• Verhaltensbasiert: Überwachung auf schnelle, sequentielle Änderungen von Dateiberechtigungen, gefolgt von einem hohen Volumen an Schreibaktivitäten auf Datenträgern.

• Kernel-Überwachung: Alarmierung beim Laden unsignierter Treiber oder Treibern mit bekannten Sicherheitslücken (CVEs) (BYOVD-Angriffsvektoren).

• Protokollbereinigung: Sofortige Auslösung von Alarmen hoher Priorität bei Ausführung von vssadmin.exe delete shadows oder dem Löschen des Sicherheitsereignisprotokolls.

Sicherheitsempfehlungen

Sofortmaßnahmen (24–72 Stunden)

1. Sperrung anfälliger Treiber: Implementieren Sie die Microsoft-Sperrliste für gefährdete Treiber, um das EDR-Deaktivierungs-Framework GentleKiller zu neutralisieren.

2. Auditierung von Edge-Geräten: Erzwingen Sie Passwortzurücksetzungen und patchen Sie alle extern erreichbaren VPNs, Firewalls und Fortinet-Appliances.

Kurzfristig (1–3 Monate)

3. Härtung des Active Directory: Beschränken Sie das Erstellen geplanter Aufgaben domänenweit. Implementieren Sie ein striktes Least-Privilege-Konzept für Dienstkonten.

4. Verbesserung der OT-Sichtbarkeit: Industrieunternehmen müssen sicherstellen, dass sie über eine grundlegende Sichtbarkeit abnormaler Verhaltensweisen an der IT/OT-Schnittstelle verfügen. Die Shieldworkz OT Threat Advisories bieten kontinuierliche, hochrelevante Erkenntnisse zur Erkennung fortgeschrittener Vorläuferaktivitäten, bevor diese die Produktionszonen erreichen.

Langfristig (3–6 Monate)

5. Netzwerksegmentierung nach dem Stand der Technik: Flache Netzwerke sind der Hauptbeschleuniger für die wurmartige Ausbreitung von The Gentlemen. Organisationen müssen eine konsequente IT/OT-Segmentierung realisieren. Die Durchführung des Shieldworkz OT Security Risk Assessment & Gap Analysis bietet eine strukturierte Methodik zur Identifizierung und Behebung dieser kritischen Segmentierungsschwachstellen.

6. Resilienz gegen Ransomware und Regulatorik: Stellen Sie sicher, dass Ihre Sicherheitsarchitektur mit globalen regulatorischen Vorgaben (wie NIS-2 / KRITIS-Standards) übereinstimmt, indem Sie die Shieldworkz Regulatory Playbooks integrieren, die präzise und aktuelle Frameworks zum Schutz kritischer Infrastrukturen gegen systematische Erpressung bieten.

Risikoanalyse-Matrix

Kernempfehlungen für die Führungsebene

Um die operativen Fähigkeiten von The Gentlemen unverzüglich einzuschränken, sollten CISOs die folgenden fünf Direktiven umsetzen:

• EDR-Umgehung neutralisieren: Setzen Sie eine strenge Anwendungssteuerung und Treiber-Sperrlisten durch, um die Ausführung des GentleKiller-Frameworks zu verhindern.

• Den OT-Perimeter isolieren: Trennen Sie nicht zwingend erforderliche IT/OT-Verbindungen sofort. Ein flaches Netzwerk garantiert im Ernstfall bei diesem Akteur den vollständigen operativen Stillstand.

• Phishing-resistente MFA vorschreiben: Eliminieren Sie Single-Factor-Authentifizierung auf allen extern zugänglichen Systemen, insbesondere bei VPN-Zugängen und Edge-Geräten.

• Backups schützen: Stellen Sie sicher, dass Offline-Backups sowie unveränderliche (immutable) Backups existieren. The Gentlemen sucht und verschlüsselt gezielt Netzwerkspeicher (NAS) und Schattenkopien.

• Assume Breach (Voraussetzung der Kompromittierung): Verlagern Sie den Schwerpunkt der Sicherheitsaktivitäten von reiner Perimeterabwehr hin zu proaktivem, internem Threat Hunting. Konzentrieren Sie sich dabei auf die Erstellung anomaler geplanter Aufgaben und unbefugte laterale Bewegungen über gemountete Freigaben.

Führen Sie jetzt eine tool-basierte Risikoanalyse durch.

Erfahren Sie mehr über unsere OT-NDR-Lösung. 

Weiterführende Literatur

· Shieldworkz Regulatory Playbooks

Link: https://shieldworkz.com/regulatory-playbooks

· Shieldworkz OT Threat Advisories

Link: https://shieldworkz.com/ot-threat-advisories

· Shieldworkz OT Security Risk Assessment & Gap Analysis

Link: https://shieldworkz.com/risk-assessment