Gentlemen: фреймворк для обхода EDR в атаках RaaS

Исследователи ESET сообщили о расследовании набора инструментов для уничтожения EDR, который использует группировка программ-вымогателей как услуга (RaaS) под названием Gentlemen. По данным компании, этот кластер активен в экосистеме ransomware с начала 2026 года и выделяется прежде всего тем, что делает ставку не на отдельные атаки, а на полноценный набор средств для отключения защитных решений на конечных точках.

Глобальная география атак

В отличие от многих других группировок программ-вымогателей, которые концентрируются на США, Gentlemen действует значительно шире. Исследователи отмечают, что жертвами становятся организации по всему миру, при этом особый интерес для злоумышленников представляют:

• Юго-Восточная Азия;
• Южная Америка;
• Западная Европа.

Такой подход указывает на высокую адаптивность группы и стремление максимально расширить охват операций.

GentleKiller и экосистема EDR killers

Ключевым элементом арсенала Gentlemen исследователи называют проприетарный фреймворк GentleKiller. Он включает как минимум восемь вариантов, использующих различные уязвимые или вредоносные драйверы. По сути, речь идет о специализированной инфраструктуре, созданной для обхода и отключения средств обнаружения и реагирования на конечных точках (EDR).

Фреймворк интегрирован со сторонними инструментами, среди которых:

• HexKiller;
• ThrottleBlood;
• HavocKiller.

Все они, по данным ESET, стандартизированы для эффективного обхода средств защиты безопасности.

Быстрая адаптация к новым BYOVD-эксплойтам

Отдельное внимание исследователи уделяют тому, насколько быстро Gentlemen внедряет новые proof of concept (PoC) эксплойтов Bring Your Own Vulnerable Driver (BYOVD). По их наблюдениям, группировка способна начать использовать такие разработки уже через несколько дней после публичного выпуска.

Это говорит о высокой технической гибкости и зрелой операционной модели, в которой новые уязвимости оперативно превращаются в рабочие инструменты атаки.

Модель для аффилиатов: снижение барьеров входа

Особенность Gentlemen заключается и в подходе к работе с аффилиатами. Вместо того чтобы заставлять партнеров самостоятельно искать или создавать инструменты для обхода защиты, группа предоставляет им уже развитый набор EDR killers.

Это заметно отличается от отраслевой нормы и, как подчеркивают исследователи, снижает:

• барьеры для входа;
• операционную сложность;
• временные затраты на подготовку атак.

Иными словами, модель работы Gentlemen делает атаки более доступными для аффилиатов и помогает группе масштабировать операции.

Маскировка под легитимное ПО

Инструменты для уничтожения EDR следуют единой стратегии обхода защиты. Она включает:

• advanced techniques of binary protection;
• использование вводящих в заблуждение имен файлов;
• маскировку под легитимное программное обеспечение;
• особый акцент на продукты из сферы cyber security.

При этом GentleKiller регулярно встречается в наблюдениях за операциями хакерской группировки The Gentlemen. Исследователи отмечают, что существуют варианты, имитирующие различные legitimate products, что дополнительно осложняет их обнаружение.

Связи с внешними разработчиками

Еще один важный вывод ESET связан с архитектурой фреймворка. Базовая структура GentleKiller и его сторонних аналогов указывает на их происхождение и подтверждает участие внешних источников в разработке.

Это означает, что экосистема инструментов Gentlemen, вероятно, формировалась не в рамках полностью закрытой внутренней разработки, а с привлечением внешних компетенций.

OxideHarvest: кража credentials

Помимо EDR killers, исследователи связывают Gentlemen с инструментом для кражи учётных данных OxideHarvest. Примечательно, что он написан на Rust и не соответствует основному языку разработки группы. Тем не менее его присутствие заметно в операциях через связанного аффилиата.

Таким образом, инфраструктура Gentlemen выглядит как набор взаимодополняющих компонентов: от средств обхода защитных решений до инструментов для последующей компрометации учётных записей.

Вывод: расследование ESET показывает, что Gentlemen строит свою модель атак вокруг быстрого применения BYOVD-эксплойтов, централизованного предоставления EDR killers аффилиатам и тщательной маскировки инструментов под легитимное ПО. Такая комбинация делает группировку особенно опасной для организаций в разных регионах мира.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.