Il gruppo ransomware The Gentlemen ha ampliato il proprio arsenale con una backdoor personalizzata e una nuova variante del malware di cifratura destinata ai sistemi Windows. La scoperta arriva dal Global Research and Analysis Team di Kaspersky, che segue le attività del gruppo da febbraio 2026.
La ricerca descrive un’organizzazione capace di combinare vulnerabilità nei servizi esposti, credenziali compromesse, strumenti amministrativi legittimi e malware sviluppati su misura. Gli attacchi hanno coinvolto aziende manifatturiere, fornitori di servizi IT, strutture sanitarie, società finanziarie, imprese edili e operatori della logistica in diverse aree del mondo.
Chi è il gruppo ransomware The Gentlemen
The Gentlemen opera secondo il modello Ransomware-as-a-Service, noto con la sigla RaaS. In questo sistema, gli sviluppatori forniscono il ransomware e l’infrastruttura necessaria ad affiliati che conducono gli attacchi contro le organizzazioni.
I ricavi ottenuti attraverso i riscatti vengono poi divisi tra gli operatori del servizio e gli affiliati. Questa struttura permette al gruppo di estendere rapidamente il numero delle operazioni senza gestire in modo diretto ogni singola intrusione.
Kaspersky aveva inizialmente collocato la comparsa del gruppo intorno alla metà del 2025. L’analisi più recente precisa però che The Gentlemen ha intensificato le attività nei primi mesi del 2026. Nel primo semestre dell’anno il gruppo è entrato tra i dieci operatori ransomware con il maggior numero di vittime pubblicate sul proprio data leak site.
Il data leak site rappresenta il portale attraverso il quale i gruppi ransomware pubblicano i nomi delle vittime e parte dei dati sottratti. La minaccia della diffusione pubblica serve a esercitare pressione sulle organizzazioni che rifiutano il pagamento.
Come The Gentlemen ottiene l’accesso alle reti
Gli affiliati del gruppo entrano nelle infrastrutture soprattutto attraverso servizi esposti a Internet, dispositivi VPN, firewall vulnerabili e credenziali rubate, deboli o predefinite.
Kaspersky ritiene inoltre possibile una collaborazione con gli Initial Access Broker, intermediari criminali che violano le reti aziendali e vendono gli accessi ad altri gruppi.
In alcuni incidenti, i ricercatori hanno rilevato attività non riconducibili alle normali procedure di The Gentlemen molto tempo prima della cifratura dei sistemi. Questo elemento può indicare che un altro attore abbia ottenuto l’accesso iniziale e lo abbia ceduto in un secondo momento agli operatori ransomware.
Il ricorso agli Initial Access Broker riduce il lavoro necessario per la prima fase dell’attacco. Il gruppo può acquistare un accesso già disponibile e concentrare le risorse sulla ricognizione interna, sul furto dei dati e sulla distribuzione del ransomware.
Ricognizione della rete e raccolta delle informazioni
Dopo l’ingresso, The Gentlemen esamina la rete per individuare sistemi, account privilegiati, servizi accessibili e possibili percorsi verso le risorse più importanti.
I ricercatori hanno osservato l’uso di strumenti come SharpADWS, NetScan, Advanced IP Scanner e netsh. SharpADWS raccoglie informazioni da Active Directory e può ridurre la visibilità di alcune interrogazioni LDAP attraverso messaggi SOAP.
NetScan e Advanced IP Scanner servono invece a trovare host, porte e servizi attivi. Il comando netsh permette anche di acquisire pacchetti di rete. I dati raccolti possono rivelare attività non cifrate, configurazioni interne e, in alcuni casi, credenziali utili per la prosecuzione dell’attacco.
Questa fase consente agli operatori di comprendere la struttura dell’organizzazione prima di avviare la cifratura. Un attacco ransomware moderno non coincide infatti con la sola esecuzione del malware finale. Prima del blocco dei sistemi, il gruppo può restare nella rete per identificare dati sensibili, backup, amministratori di dominio e sistemi di sicurezza.
Una nuova backdoor scritta in Go
La principale novità emersa dalla ricerca riguarda una backdoor personalizzata scritta nel linguaggio Go.
In un incidente analizzato da Kaspersky, il gruppo ha distribuito il malware un giorno prima dell’esecuzione del ransomware. La backdoor raccoglie nome del computer, dominio, identificativo UUID e indirizzi IP locali.
Il malware stabilisce poi una connessione TCP persistente e bidirezionale con il server di comando e controllo. Gli operatori possono inviare comandi al sistema compromesso oppure creare un proxy SOCKS per raggiungere altre risorse presenti nella rete.
La backdoor nasconde la finestra della console, caratteristica che riduce la possibilità che un utente noti l’esecuzione del programma. Il server remoto può inoltre ordinare l’esecuzione di comandi per verificare l’identità dell’account, individuare gli amministratori del dominio ed esplorare cartelle e unità.
La presenza di un canale bidirezionale offre agli attaccanti maggiore flessibilità. Il gruppo può modificare le attività in base alla rete violata, installare altri strumenti o mantenere l’accesso anche prima della fase finale dell’attacco.
Il movimento laterale tramite GPO e PsExec
Una volta individuati i sistemi di interesse, The Gentlemen può distribuire il ransomware su più dispositivi attraverso le Group Policy, le condivisioni NETLOGON e script PowerShell personalizzati.
Le Group Policy permettono agli amministratori di applicare configurazioni e avviare operazioni su numerosi computer appartenenti allo stesso dominio. Nelle mani di un attaccante con privilegi elevati, lo stesso meccanismo può trasformarsi in un sistema per distribuire il ransomware in modo simultaneo.
Il gruppo usa anche PsExec, uno strumento legittimo di amministrazione remota, per eseguire il payload su altri sistemi quando la distribuzione tramite GPO non risulta possibile.
L’impiego di programmi legittimi può complicare il rilevamento. La presenza di PsExec o PowerShell non dimostra da sola un attacco, poiché entrambi gli strumenti trovano impiego nelle normali attività IT. I sistemi di sicurezza devono quindi valutare il contesto, l’account coinvolto, l’orario, i comandi e la destinazione delle operazioni.
Gli attaccanti tentano di disattivare EDR e antivirus
The Gentlemen adotta diverse tecniche per indebolire i sistemi di protezione prima della cifratura.
Tra queste compare il Bring Your Own Vulnerable Driver, o BYOVD. La tecnica prevede l’installazione di un driver legittimo ma vulnerabile. L’attaccante sfrutta poi la falla del driver per ottenere accesso al kernel, terminare processi protetti o disattivare gli agenti EDR.
Kaspersky ha rilevato l’uso di driver vulnerabili associati a software DLP, antimalware, sistemi anti-cheat, programmi per la gestione delle partizioni, componenti audio e applicazioni per il controllo dell’illuminazione RGB.
Il gruppo usa anche Windows Kernel Explorer e OpenArk64, oltre a modifiche del Registro di sistema e comandi PowerShell diretti contro le protezioni di Microsoft Defender.
Questa attività conferma una tendenza più ampia del ransomware nel 2026. Secondo Kaspersky, gli strumenti capaci di disattivare EDR e antivirus costituiscono ormai una componente stabile delle catene di attacco più strutturate.
Una nuova variante ransomware per Windows
Kaspersky ha scoperto anche una variante del ransomware scritta in C e destinata ai sistemi Windows.
Il gruppo aveva già utilizzato un ransomware multipiattaforma sviluppato in Go. Altri ricercatori avevano inoltre individuato un locker in C per i server VMware ESXi basati su Linux. Il nuovo campione analizzato da Kaspersky appare invece limitato a Windows.
La variante è comparsa in un numero ristretto di incidenti e contiene opzioni non ancora operative. Questo elemento porta i ricercatori a considerarla una versione ancora in fase di sviluppo e collaudo.
Il malware include parametri per l’avvio ritardato, la rimozione automatica, l’esecuzione con privilegi di sistema, la scelta delle cartelle e diverse modalità di cifratura. Alcune opzioni previste nel codice, tra cui quelle dedicate alle condivisioni di rete e alle modalità rapide, non risultano ancora implementate.
Come funziona la cifratura
La nuova variante usa la libreria OpenSSL e combina AES-256-GCM e RSA.
Per ogni file, il ransomware genera una chiave casuale e un vettore di inizializzazione. Il contenuto viene cifrato con AES, mentre la chiave necessaria alla decifratura viene protetta tramite una chiave pubblica RSA incorporata nel malware.
Dopo la cifratura, il programma crea una richiesta di riscatto nelle cartelle colpite. Rispetto alle precedenti versioni in Go, la nota indica un indirizzo email come canale di contatto al posto del servizio Tox.
Il malware tenta inoltre di cancellare diversi registri eventi di Windows. Il codice presenta però un possibile errore nella selezione delle categorie, altro elemento compatibile con una variante non ancora completata.
La versione in Go può anche eliminare le copie shadow, cancellare file di log, rimuovere tracce dell’attività e sovrascrivere lo spazio libero del disco. Queste operazioni rendono più difficile il recupero dei dati e l’analisi forense dell’incidente.
I settori e i Paesi interessati
The Gentlemen ha colpito organizzazioni dei settori manifatturiero, informatico, sanitario, finanziario, edile e logistico.
La telemetria di Kaspersky segnala una presenza rilevante in Brasile, Cina, Indonesia, Taiwan e Thailandia. Il gruppo non appare però legato a una sola area geografica e rivolge le proprie operazioni contro aziende e infrastrutture di diversi Paesi.
La varietà dei settori indica un approccio opportunistico. Gli attaccanti cercano organizzazioni che dispongono di servizi vulnerabili, credenziali accessibili o dati con un valore economico e operativo elevato.
Perché la backdoor aumenta il rischio
La nuova backdoor offre a The Gentlemen uno strumento specifico per la fase che precede la cifratura.
Il ransomware rappresenta il momento più visibile dell’attacco, ma l’impatto può iniziare molto prima. Gli operatori possono sottrarre documenti, acquisire account, modificare configurazioni, disattivare le protezioni e creare percorsi di accesso alternativi.
Anche dopo il ripristino dei file, una backdoor non individuata può permettere al gruppo di rientrare nella rete. La risposta non deve quindi limitarsi alla rimozione del ransomware o al recupero dei sistemi cifrati.
L’organizzazione deve ricostruire l’intera catena dell’incidente, identificare il punto di accesso, cercare meccanismi di persistenza e verificare tutti gli account che possono avere subito una compromissione.
Come ridurre il rischio di un attacco The Gentlemen
La prima misura riguarda i servizi esposti su Internet. VPN, firewall, portali di accesso remoto e applicazioni pubbliche devono ricevere patch tempestive e controlli periodici.
Le aziende dovrebbero inoltre:
- eliminare credenziali predefinite e password deboli;
- attivare l’autenticazione a più fattori sugli accessi remoti;
- limitare i privilegi amministrativi;
- controllare le modifiche alle Group Policy;
- monitorare l’uso anomalo di PowerShell, PsExec e netsh;
- bloccare i driver vulnerabili noti;
- proteggere gli account di dominio più importanti;
- analizzare il traffico in uscita;
- separare le reti e i sistemi critici;
- conservare backup offline o immutabili;
- testare con regolarità il ripristino;
- mantenere una telemetria EDR completa;
- cercare attività sospette anche prima dell’esecuzione del ransomware.
Particolare attenzione va riservata alla comparsa improvvisa di nuovi driver, attività sui controller di dominio, modifiche alle esclusioni antivirus, cancellazione dei log e connessioni insolite verso server esterni.
Il ransomware resta una minaccia adattiva
Il rapporto annuale di Kaspersky sul ransomware registra nel 2025 una riduzione della quota di organizzazioni colpite rispetto all’anno precedente. La diminuzione non indica però una perdita di efficacia del modello criminale.
I gruppi continuano a migliorare gli strumenti di evasione, ad acquistare accessi dagli intermediari e a creare malware specifici per le diverse fasi dell’intrusione.
The Gentlemen riflette questa evoluzione. Il gruppo combina un servizio RaaS, strumenti pubblici, script adattati alle singole vittime, tecniche BYOVD, una backdoor in Go e più varianti del ransomware.
La comparsa del nuovo malware per Windows mostra che l’arsenale non ha ancora raggiunto una forma definitiva. Le opzioni incomplete suggeriscono ulteriori modifiche, mentre l’uso in incidenti reali indica che il gruppo prova alcune capacità direttamente nelle reti compromesse.
