Gentlemen RaaS: GentleKiller EDR Framework bedroht Sicher…

Die Gentlemen RaaS-Operation setzt auf das GentleKiller EDR-Framework, das 400 Sicherheitsprozesse deaktiviert. Erfahren Sie, wie diese Bedrohung Ihre S…

Was ist Gentlemen RaaS?

Hinter dem Namen „Gentlemen“ verbirgt sich eine Ransomware-as-a-Service (RaaS)-Gruppe, die in den letzten Monaten verstärkt aktiv geworden ist. Ihre Besonderheit: Sie setzt auf ein hauseigenes Framework namens GentleKiller, das speziell darauf ausgelegt ist, Endpoint Detection and Response (EDR)-Systeme auszuschalten. Das ist ein entscheidender Vorteil für die Angreifer – denn ohne funktionierende EDR können sie ungehindert ihre Schadsoftware ausrollen.

Die Gruppe bietet Affiliates ein ausgereiftes Portfolio an Tools, die Sicherheitslösungen umgehen. Sie zielen auf über 400 verschiedene Sicherheitsprozesse ab, darunter bekannte Produkte von Microsoft, CrowdStrike, SentinelOne und vielen anderen. Das ist kein Zufall, sondern systematische Entwicklung.

Wie funktioniert GentleKiller?

Das GentleKiller-Framework ist modular aufgebaut. Es kombiniert eigene Komponenten mit integrierten Drittanbieter-Tools, um eine maximale Abdeckung zu erreichen. Die Angreifer laden zunächst einen sogenannten „EDR-Killer“ auf das kompromittierte System, der dann die Sicherheitssoftware deaktiviert oder umgeht. Erst danach wird der eigentliche Ransomware-Encryptor ausgeführt.

Dieser Ansatz ist nicht neu, aber die Professionalität, mit der Gentlemen das umsetzt, macht den Unterschied. Die Tools werden ständig aktualisiert, um auch neuere Versionen von Sicherheitssoftware zu umgehen. Das zeigt: Hier arbeiten erfahrene Entwickler, die den Markt für Sicherheitslösungen genau beobachten.

Warum sind EDR-Killer so gefährlich?

Stellen Sie sich vor, Ihr Haus hat eine Alarmanlage – und die Einbrecher schalten sie aus, bevor sie überhaupt einbrechen. Genau das machen EDR-Killer. Sie öffnen die Tür für die Ransomware, ohne dass Sie etwas merken. Besonders perfide: Viele EDR-Systeme melden die Deaktivierung nicht, weil der Angreifer die entsprechenden Prozesse blockiert.

Die Zahl von 400 anvisierten Sicherheitsprozessen ist ein Weckruf. Sie zeigt, dass die Angreifer systematisch vorgehen und nahezu jedes gängige Sicherheitsprodukt im Visier haben. Das betrifft nicht nur große Unternehmen, sondern auch kleine und mittlere Betriebe, die oft auf genau solche Lösungen vertrauen.

Wie können Sie sich schützen?

Ein vollständiger Schutz ist schwierig, aber es gibt Maßnahmen, die das Risiko senken:

• Mehrschichtige Sicherheit: Verlassen Sie sich nicht auf eine einzige Sicherheitslösung. Kombinieren Sie EDR mit Netzwerksegmentierung, Härtung der Systeme und regelmäßigen Backups.
• Überwachung auf Prozessabbruche: Konfigurieren Sie Ihre Sicherheitslösung so, dass unerwartete Beendigungen von Prozessen Alarm auslösen. Viele EDR-Killer arbeiten mit dem Befehl „taskkill“ – das lässt sich erkennen.
• Patch-Management: Halten Sie alle Systeme aktuell. Viele Angriffe nutzen bekannte Schwachstellen, um initialen Zugriff zu erlangen.
• Least-Privilege-Prinzip: Schränken Sie die Rechte von Benutzern und Diensten ein. Ein Angreifer, der keine Administratorrechte hat, kann den EDR-Killer oft nicht ausführen.

Ein Irrglaube ist übrigens, dass nur große Konzerne betroffen sind. Die Gentlemen-Gruppe hat es gezielt auf mittelständische Unternehmen abgesehen, weil diese oft weniger gut geschützt sind. Jeder kann zum Ziel werden.

Fazit: Keine Entwarnung in Sicht

Die Entwicklung von EDR-Killern wie GentleKiller zeigt, dass der Kampf zwischen Angreifern und Verteidigern in eine neue Phase tritt. RaaS-Gruppen professionalisieren sich immer weiter und bieten ihren Affiliates Werkzeuge, die früher nur staatlichen Akteuren vorbehalten waren. Das macht die Bedrohung für alle Unternehmen realer denn je.

Bleiben Sie wachsam. Überprüfen Sie Ihre Sicherheitsstrategie. Und vergessen Sie nie: Ransomware ist kein Problem von morgen – es ist das Problem von heute.