Il gruppo criminale noto come Gentlemen (identificato anche come Storm-2697) ha recentemente evoluto la sua catena di attacco, introducendo una tecnica mirata a neutralizzare i sistemi di difesa prima ancora di avviare la cifratura dei dati.
Questo approccio segna un cambio di paradigma: l’obiettivo non è più solo rendere inaccessibili i file, ma eliminare preventivamente gli strumenti di sicurezza che potrebbero rilevare o bloccare l’intrusione nelle fasi iniziali. La strategia riflette una tendenza ormai consolidata tra gli operatori ransomware, che preferiscono concentrarsi sull’elusione delle difese endpoint piuttosto che affidarsi unicamente alla velocità dell’algoritmo di cifratura.
Secondo l’analisi tecnica pubblicata da Catalyst e confermata da ricerche indipendenti, la campagna sfrutta un driver a livello kernel capace di disattivare un numero molto elevato di processi di sicurezza, aumentando drasticamente le probabilità di successo dell’infezione. Questo componente si inserisce nel toolkit proprietario del gruppo, noto come GentleKiller, che viene costantemente aggiornato per eludere le contromisure degli EDR moderni.
Il driver anticheatG13 e la compromissione del kernel
Il componente identificato dai ricercatori, denominato anticheatG13.sys, esegue codice con privilegi di kernel mode, il livello di accesso più elevato nel sistema operativo Windows. Questa posizione privilegiata consente al malware di interagire direttamente con processi, memoria, file system e componenti di rete, aggirando i controlli normalmente applicati alle applicazioni in modalità utente.
