باج‌افزار Gentlemen از چندین ابزار EDR Killer برای غیرفعال کردن دفاع‌ها استفاده می‌کند

گروه باج‌افزاری «Gentlemen» که به‌صورت سرویس (RaaS) فعالیت می‌کند، مجموعه‌ای از ابزارهای غیرفعال‌سازی سیستم‌های تشخیص و پاسخ نقطه پایانی (EDR killer) را توسعه داده و به‌کار می‌گیرد تا به همکاران خود در فرار از شناسایی کمک کند. محققان شرکت ESET گزارش دادند که اصلی‌ترین ابزار این گروه، موسوم به «GentleKiller»، دارای حداقل هشت نسخه مختلف است که با جعل هویت محصولات امنیتی معتبر نظیر Kaspersky، Valorant و WatchDog عمل می‌کند. این ابزار با بهره‌گیری از تکنیک «درایور آسیب‌پذیر شخصی» (BYOVD) به سطح دسترسی هسته سیستم‌عامل دست یافته و بیش از ۴۰۰ فرآیند مرتبط با حدود ۴۸ محصول امنیتی از جمله Microsoft، CrowdStrike، SentinelOne و Palo Alto را هدف قرار می‌دهد.

علاوه بر GentleKiller، این گروه از سه ابزار خارجی دیگر یعنی HexKiller، ThrottleBlood و HavocKiller نیز استفاده می‌کند که پیش‌تر در حملات سایر گروه‌های باج‌افزاری مشاهده شده‌اند. محققان همچنین ابزار سرقت اعتبارنامه مبتنی بر Rust با نام «OxideHarvest» را در زرادخانه این گروه شناسایی کردند. نکته قابل توجه آن است که این گروه اهداف خود را بر اساس پیکربندی دستگاه‌های FortiGate انتخاب می‌کند؛ موضوعی که با توجه به افشای اخیر نزدیک به ۷۴٬۰۰۰ اعتبارنامه VPN مربوط به FortiGate اهمیت ویژه‌ای دارد. این گروه پیش‌تر شرکت انرژی رومانیایی Oltenia را به خطر انداخته و با یک بات‌نت بدافزار پروکسی SystemBC با بیش از ۱٬۵۷۰ میزبان مرتبط شناخته شده است.