Il gruppo ransomware Gentlemen sta utilizzando una tecnica nota come BYOVD (Bring Your Own Vulnerable Driver) per compromettere i sistemi, sfruttando vulnerabilità in driver legittimi di Lenovo e Safetica per disabilitare software di sicurezza prima di procedere alla crittografia dei dati.
Ricercatori di Acronis Threat Research Unit hanno scoperto una tattica preoccupante impiegata dal gruppo ransomware Gentlemen, che consiste nell'abuso di driver legittimi di Lenovo e Safetica per neutralizzare le difese di sicurezza sui sistemi target. Questa tecnica, denominata BYOVD (Bring Your Own Vulnerable Driver), trasforma componenti software fidati in strumenti di attacco privilegiati, indebolendo notevolmente la capacità di un endpoint di resistere alla crittografia.
Nel corso di un'indagine su un incidente recente, i ricercatori hanno identificato campioni di malware personalizzati che sfruttavano driver vulnerabili. Invece di affidarsi esclusivamente ai comandi standard per terminare i processi, i loader malevoli installavano i driver come servizi. Successivamente, enumeravano i processi in esecuzione e inviavano richieste di terminazione se i nomi dei processi corrispondevano a una lista predefinita di software di sicurezza.
I driver specificamente sfruttati in questo scenario erano la versione 11.26.18 di ProcessMonitorDriver di Safetica e la versione 2.5.30.11281 di BootRepair.sys di Lenovo. I nomi dei file lasciati dal malware sui sistemi compromessi erano rispettivamente STProcessMonitorNew_clone_03_FC21F904.sys e PhantomKiller_clone_04_94354C0F.sys.
La vulnerabilità nel driver di Safetica risiede in un'interfaccia di controllo input/output (IOCTL) non sufficientemente protetta, che permette la terminazione di processi. Questa falla è stata tracciata con l'identificativo CVE-2025-70795 e Safetica stessa ha documentato il problema nella sua base di conoscenza sulla sicurezza.
In modo simile, il driver di Lenovo espone un'interfaccia di dispositivo che consente la terminazione di processi arbitrari attraverso un gestore IOCTL non autenticato. Prima di essere distribuiti, i loader malevoli recuperano i nomi e i percorsi dei file incorporati tramite una routine di de-offuscamento basata su XOR, rendendo più complessa l'analisi statica del codice.
Una volta caricato il driver, il malware confronta i nomi dei processi in esecuzione con la sua lista di obiettivi. Per ogni corrispondenza, invia l'identificativo del processo tramite una richiesta IOCTL. Il driver, operando in contesto kernel, utilizza poi le funzioni di sistema ZwOpenProcess e ZwTerminateProcess per eseguire l'operazione di terminazione, conferendo al malware privilegi elevati.
È importante sottolineare che questa tecnica sfrutta componenti vulnerabili e non implica che Lenovo o Safetica abbiano distribuito il ransomware. Si tratta piuttosto dell'abuso di software legittimo che contiene falle di sicurezza.
Il gruppo Gentlemen è identificato come un'operazione di Ransomware-as-a-Service (RaaS) di lingua russa, emersa a metà del 2025. Precedentemente noto con i nomi ArmCorp e Phantom Mantis, il gruppo ha partecipato ad operazioni affiliate con LockBit e Qilin. Offre ai suoi affiliati fino al 90% dei proventi dei riscatti.
Secondo le ricerche, l'operazione Gentlemen ha colpito oltre 800 vittime, con una prevalenza di attacchi negli Stati Uniti e in Europa. I settori più colpiti includono manifatturiero, tecnologico, sanitario, servizi professionali e retail. Il loro ransomware, scritto in Go, supporta diversi ambienti operativi come Windows, Linux, NAS e BSD.
Una violazione dell'infrastruttura del gruppo nel maggio 2026 ha rivelato comunicazioni interne, trattative, informazioni sugli affiliati e discussioni sugli strumenti, fornendo ulteriore visibilità sulla loro organizzazione e sui legami con l'ecosistema Qilin.
Oltre alla disabilitazione dei software di sicurezza, il ransomware Gentlemen mira a bloccare i processi relativi a database, virtualizzazione, backup e sicurezza, eliminando le Volume Shadow Copies per ostacolare il recupero dei dati. Implementa anche meccanismi di persistenza tramite attività pianificate e voci nel registro di sistema, e può propagarsi lateralmente utilizzando PowerShell e PsExec.
La crittografia dei file avviene utilizzando l'algoritmo ChaCha20, con chiavi e nonce per ogni file. Le varianti analizzate appendono l'estensione .cyvzca e lasciano note di riscatto README-GENTLEMEN.txt, sebbene le estensioni possano variare.
La preoccupazione principale per i difensori è l'indebolimento coordinato delle difese: il caricamento di driver malevoli, la terminazione di processi di sicurezza, l'interruzione dei backup e la crittografia operano come fasi complementari di un attacco ben orchestrato.
Per contrastare queste minacce, è fondamentale monitorare l'installazione di servizi di driver kernel inattesi, le uscite improvvise di processi di sicurezza e le modifiche alle configurazioni degli antivirus. Questi segnali possono aiutare a identificare un'intrusione prima che la crittografia dei dati diventi irreversibile. La ricerca di Acronis collega queste attività tecniche all'operazione di doppia estorsione del gruppo, dove i dati rubati aumentano la leva finanziaria oltre alla semplice crittografia dei sistemi.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
