A investigação da ESET Research revela que o grupo de ransomware Gentlemen cria aplicações próprias para neutralizar soluções de cibersegurança nos sistemas das vítimas. A organização destaca-se desde o início de 2026 devido a um conjunto estruturado de operações cibercriminosas. O arsenal de desativação foca-se na intrusão em arquiteturas corporativas.
O modelo Ransomware-as-a-Service (RaaS) centraliza o desenvolvimento de software de evasão
O grupo de ransomware Gentlemen altera o modelo de operações ao assumir o desenvolvimento do arsenal de evasão internamente, em vez de delegar a tarefa aos afiliados. A organização oferece uma retenção de lucros de 90% para os membros da rede. As campanhas de Ransomware-as-a-Service assentam numa técnica de dupla extorsão aplicada de forma sistemática.
Os criminosos encriptam os dados e exigem o pagamento de um resgate sob a ameaça de publicação da informação. Uma fuga de dados registada em maio de 2026 expôs o funcionamento interno e confirmou as hipóteses da ESET Research formuladas em fevereiro do mesmo ano.
O investigador especializado Jakub Souček confirma o padrão de atuação corporativa do coletivo. O perito afirma: «Os operadores do Gentlemen desenvolvem e mantêm ativamente um arsenal de ferramentas de neutralização de EDR disponibilizado aos afiliados».
A framework GentleKiller oculta o código-fonte dos binários
A estrutura de software a que a investigação chamou GentleKiller protege o código central ao aplicar táticas de evasão diretamente nos binários compilados. A tática defende a tecnologia da inspeção das ferramentas de neutralização de EDR, uma vez que a organização não possui sempre o código-fonte original de todos os módulos.
A equipa identificou oito variantes distintas desta ferramenta em operação ativa nos servidores analisados. Cada ficheiro simula um produto autêntico para contornar mecanismos de bloqueio. O software utiliza cópias de certificados digitais e falsifica dados de versão das aplicações legítimas.
A infraestrutura incorpora ainda componentes externos como o HexKiller, o ThrottleBlood e o HavocKiller. Os analistas localizaram um utilitário focado na extração de credenciais de acesso, sob a nomenclatura OxideHarvest. A autoria deste módulo pertence a um dos afiliados, um desvio da norma centralizadora dos operadores.
O ataque BYOVD neutraliza a segurança no nível do kernel
Os atacantes exploram controladores de sistema vulneráveis poucos dias após a publicação de provas de conceito (PoCs), com o intuito de obter privilégios máximos de administração. O método Bring Your Own Vulnerable Driver (BYOVD) anula a camada defensiva e bloqueia as soluções de proteção corporativas.
A ação de neutralização ocorre no passo imediatamente prévio à encriptação massiva de ficheiros. O investigador Jakub Souček explica a importância da descoberta para a mitigação de incidentes. O especialista acrescenta: “Do ponto de vista da defesa, compreender o funcionamento do GentleKiller permite aos profissionais de segurança criar estratégias de proteção mais eficazes“.
A antecipação deste modus operandi dita a formulação de táticas defensivas contra as futuras ferramentas do arsenal. A origem da rede remonta ao final de 2025, de acordo com o cruzamento de relatórios.
A estratégia geográfica foge ao padrão do mercado norte-americano
Os alvos do grupo de ransomware Gentlemen localizam-se na Europa Ocidental, no Sudeste Asiático e na América do Sul, com um recuo claro do foco nos Estados Unidos. A tendência contrasta com a maioria dos consórcios da área. As redes de ciberextorsão concentram tipicamente metade dos ataques em empresas norte-americanas.
Segundo a ESET, a distribuição ampla e diversificada de incidentes dificulta a monitorização central por parte das autoridades competentes. O coletivo figura entre os cinco grupos com mais ataques concretizados no primeiro trimestre de 2026.
A análise técnica deste cenário sublinha a necessidade de rastreio de ameaças à escala global e multisectorial. A adaptação constante das políticas de resposta a incidentes mitiga o risco associado às estruturas centrais de desenvolvimento malicioso.
Para
Outros artigos interessantes:
