Il ransomware denominato Gentlemen utilizza un driver kernel per disattivare un numero elevato di processi di sicurezza, quasi 180, prima di procedere con la cifratura dei file. Il gruppo criminale, identificato anche come Storm-2697, ha recentemente evoluto la propria catena di attacco introducendo una tecnica mirata a neutralizzare i sistemi difensivi ancor prima dell’inizio della fase di crittografia vera e propria.

Questo approccio segna un cambiamento significativo nella strategia degli attaccanti: l’obiettivo non è più solamente rendere inaccessibili i file, ma eliminare preventivamente gli strumenti di sicurezza che potrebbero rilevare o bloccare l’intrusione nelle prime fasi. Tale strategia riflette una tendenza consolidata tra gli operatori ransomware, che prediligono l’elusione delle difese endpoint rispetto alla velocità dell’algoritmo di cifratura.

Secondo un’analisi tecnica pubblicata da Catalyst e confermata da ricerche indipendenti, la campagna sfrutta un driver a livello kernel in grado di disattivare un elevato numero di processi di sicurezza, aumentando drasticamente le probabilità di successo dell’infezione. Questo componente fa parte del toolkit proprietario del gruppo, noto come GentleKiller, che viene costantemente aggiornato per eludere le contromisure degli EDR (Endpoint Detection and Response) moderni.

Il driver identificato dai ricercatori, denominato anticheatG13.sys, esegue codice con privilegi di kernel mode, il livello di accesso più elevato nel sistema operativo Windows. Questa posizione privilegiata consente al malware di interagire direttamente con processi, memoria, file system e componenti di rete, aggirando i controlli normalmente applicati alle applicazioni in modalità utente. Il driver rappresenta un’evoluzione del precedente G12drv.sys, dal quale eredita diverse funzionalità ampliandone le capacità operative.

Una volta caricato nel sistema, il modulo offre agli attaccanti un controllo esteso sull’ambiente compromesso, preparando la fase di distribuzione del payload finale. L’aspetto più critico riguarda la capacità del driver di terminare quasi 180 processi associati a software di sicurezza, tra cui antivirus, piattaforme EDR, agenti di backup e strumenti di monitoraggio. La terminazione non avviene in modo casuale: il driver utilizza thread di sistema dedicati per eseguire l’operazione e verificarne il completamento, dimostrando che la rimozione delle difese rappresenta una fase strutturata della catena di attacco.

Nel caso in cui la semplice chiusura dei processi non fosse sufficiente, il malware può modificare direttamente la memoria dei processi stessi, causando il malfunzionamento delle applicazioni bersaglio. Eliminando questi servizi, gli attaccanti riducono drasticamente la possibilità che vengano generati avvisi, raccolte prove forensi o attivate procedure automatiche di contenimento prima dell’inizio della cifratura.

Le capacità del driver non si limitano alla gestione dei processi. Catalyst ha documentato funzionalità dedicate al controllo del traffico di rete attraverso Windows Filtering Platform, con meccanismi di reindirizzamento delle connessioni, whitelist di indirizzi IP e modifica dei parametri della riga di comando. Il malware può inoltre monitorare il caricamento di nuovi driver nel sistema e impedire l’esecuzione di componenti selezionati, ostacolando le soluzioni di sicurezza che tentano di installare moduli kernel durante la risposta all’incidente.

Queste caratteristiche, normalmente disponibili solo a software con privilegi molto elevati, rendono il rilevamento basato su firme statiche particolarmente difficoltoso. Il caso Gentlemen conferma la crescente diffusione della tecnica BYOVD (Bring Your Own Vulnerable Driver), in cui gli attaccanti sfruttano driver legittimi ma vulnerabili per ottenere accesso al kernel e disattivare le protezioni.

Per difendersi da questo tipo di attacchi, gli esperti raccomandano di monitorare attentamente l’installazione di nuovi driver, soprattutto quando coincide con l’arresto improvviso di servizi di sicurezza. È fondamentale abilitare la Vulnerable Driver Blocklist di Microsoft, attivare Hypervisor-Protected Code Integrity (HVCI) e implementare regole ASR (Attack Surface Reduction) specifiche per bloccare l’abuso di driver firmati vulnerabili. Anche l’analisi di richieste IOCTL anomale può contribuire a individuare attività sospette prima della fase di cifratura.

Tra le misure di mitigazione prioritarie figurano la limitazione dei privilegi amministrativi, la segmentazione della rete e la conservazione di backup isolati dall’infrastruttura principale. Un piano di risposta agli incidenti regolarmente testato consente di isolare rapidamente i sistemi compromessi e ripristinare l’operatività senza cedere al pagamento del riscatto.