A Acronis Threat Research Unit publicou em 21 de outubro uma análise do The Gentlemen, operação de ransomware como serviço escrita em Go que apareceu em 2025 e ataca Windows, Linux, BSD e sistemas NAS. O grupo afirma ter passado de 800 vítimas, número que a Acronis não confirmou de forma independente.
O primeiro movimento no host é derrubar a defesa. O malware desativa o monitoramento em tempo real do Windows Defender, inclui o próprio processo e a unidade C na lista de exclusões e encerra processos e serviços ligados a ferramentas de segurança.
Para alcançar o que o Defender não entrega, o grupo instala como serviço dois drivers vulneráveis, um associado ao ProcessMonitorDriver da Safetica, ligado à CVE-2025-70795, e o BootRepair.sys da Lenovo. Com driver em nível de kernel, uma ferramenta separada encerra processo de segurança fora do alcance do usuário comum.
Em seguida vem a destruição da capacidade de recuperação. O malware para os serviços do software de backup, remove as cópias de sombra de volume antes de criptografar, e encerra serviços de banco de dados e de máquina virtual para liberar arquivo que estaria em uso.
A limpeza de rastro é parte do mesmo roteiro. São apagados logs de evento, dados de prefetch e o histórico do PowerShell, o que reduz o material disponível para a investigação depois do incidente. A persistência fica por tarefa agendada e por entrada de inicialização no registro.
A criptografia usa ChaCha20 nos arquivos e curva elíptica para proteger as chaves. Arquivo menor que 1 MB é criptografado por inteiro, e arquivo maior pode ser criptografado em partes. Quando a propagação está habilitada, o PsExec executa o ransomware em outras estações, e há roubo de dados antes da criptografia para dupla extorsão.
A Acronis recomenda manter o EDR ativo, aplicar correção em sistema e em driver, limitar acesso administrativo, monitorar PowerShell e ferramenta de administração remota, segmentar a rede e manter cópia de backup offline ou imutável. Entre os sinais de alerta estão mudança inesperada no Defender, parada de serviço de segurança ou de backup e instalação de driver desconhecido.
