Il ransomware Gentlemen "spegne" 180 antivirus prima della cifratura

Il gruppo criminale noto come Gentlemen (identificato anche come Storm-2697) ha recentemente evoluto la sua catena di attacco, introducendo una tecnica mirata a neutralizzare i sistemi di difesa prima ancora di avviare la cifratura dei dati.

Questo approccio segna un cambio di paradigma: l’obiettivo non è più solo rendere inaccessibili i file, ma eliminare preventivamente gli strumenti di sicurezza che potrebbero rilevare o bloccare l’intrusione nelle fasi iniziali. La strategia riflette una tendenza ormai consolidata tra gli operatori ransomware, che preferiscono concentrarsi sull’elusione delle difese endpoint piuttosto che affidarsi unicamente alla velocità dell’algoritmo di cifratura.

Secondo l’analisi tecnica pubblicata da Catalyst e confermata da ricerche indipendenti, la campagna sfrutta un driver a livello kernel capace di disattivare un numero molto elevato di processi di sicurezza, aumentando drasticamente le probabilità di successo dell’infezione. Questo componente si inserisce nel toolkit proprietario del gruppo, noto come GentleKiller, che viene costantemente aggiornato per eludere le contromisure degli EDR moderni.

Il driver anticheatG13 e la compromissione del kernel

Il componente identificato dai ricercatori, denominato anticheatG13.sys, esegue codice con privilegi di kernel mode, il livello di accesso più elevato nel sistema operativo Windows. Questa posizione privilegiata consente al malware di interagire direttamente con processi, memoria, file system e componenti di rete, aggirando i controlli normalmente applicati alle applicazioni in modalità utente.

Il driver rappresenta un’evoluzione del precedente G12drv.sys, dal quale eredita diverse funzionalità ampliandone le capacità operative. Una volta caricato, il modulo offre agli attaccanti un controllo esteso dell’ambiente compromesso, preparando il terreno alla distribuzione del payload finale.

L’aspetto più critico riguarda la capacità del driver di terminare quasi 180 processi associati a software di sicurezza, tra cui antivirus, piattaforme EDR, agenti di backup e strumenti di monitoraggio. La terminazione non avviene in modo casuale: il driver utilizza thread di sistema dedicati per eseguire l’operazione e verificarne il completamento, dimostrando che la rimozione delle difese rappresenta una fase strutturata della catena di attacco.

Se la semplice chiusura non fosse sufficiente, il malware può modificare direttamente la memoria dei processi, causando il malfunzionamento delle applicazioni bersaglio. Eliminando questi servizi, gli attaccanti riducono drasticamente la possibilità che vengano generati avvisi, raccolte prove forensi o attivate procedure automatiche di contenimento prima che inizi la cifratura.

Le capacità del driver non si limitano alla gestione dei processi. Catalyst ha documentato funzionalità dedicate al controllo del traffico di rete attraverso Windows Filtering Platform, con meccanismi di reindirizzamento delle connessioni, whitelist di indirizzi IP e modifica dei parametri della riga di comando.

Il malware può inoltre monitorare il caricamento di nuovi driver nel sistema e impedire l’esecuzione di componenti selezionati, ostacolando le soluzioni di sicurezza che tentano di installare moduli kernel durante la risposta all’incidente. Queste caratteristiche, normalmente disponibili solo a software con privilegi molto elevati, rendono il rilevamento basato su firme statiche particolarmente difficoltoso.

Strategie di difesa contro gli attacchi BYOVD

Il caso Gentlemen conferma la crescente diffusione della tecnica BYOVD (Bring Your Own Vulnerable Driver), in cui gli attaccanti sfruttano driver legittimi ma vulnerabili per ottenere accesso al kernel e disattivare le protezioni.

Per difendersi, gli esperti raccomandano di monitorare attentamente l’installazione di nuovi driver, soprattutto quando coincide con l’arresto improvviso di servizi di sicurezza. È fondamentale abilitare la Vulnerable Driver Blocklist di Microsoft, attivare Hypervisor-Protected Code Integrity (HVCI) e implementare regole ASR specifiche per bloccare l’abuso di driver firmati vulnerabili. Anche l’analisi di richieste IOCTL anomale può contribuire a individuare attività sospette prima della fase di cifratura.

Tra le misure di mitigazione prioritarie figurano la limitazione dei privilegi amministrativi, la segmentazione della rete e la conservazione di backup isolati dall’infrastruttura principale. Un piano di risposta agli incidenti regolarmente testato consente di isolare rapidamente i sistemi compromessi e ripristinare l’operatività senza cedere al pagamento del riscatto.