Il tempo mediano tra il primo accesso non autorizzato nell’infrastruttura target e la distribuzione del ransomware è di circa due giorni; nel caso più rapido registrato, l’attaccante è arrivato alla cifratura in meno di 24 ore. Sono i dati che emergono dall'analisi di 15 incidenti condotti dal Counter Threat Unit (CTU) di Secureworks sull'operazione di ransomware-as-a-service The Gentlemen, che i ricercatori hanno monitorato con la sigla Gold Sherwood.

Il gruppo è ben noto da metà 2025, e la sua efficaia negli attacchi cyber è cresciuta nel tempo, tanto da arrivare a fine luglio 2026 a rivendicare 683 vittime, di cui 169 aggiunte nel solo mese di luglio. Le vittime coprono settori eterogenei e il business è tuttora in espansione, tanto che sul forum cybercrime RAMP è comparso un annuncio di reclutamento. L’offerta è a dir poco appetibile: agli affiliati spetta il 90 percento del riscatto, nella speranza di attirare operatori già in possesso di accessi e di competenze avanzate.

L'accesso iniziale è legato in modo ricorrente a infrastrutture Fortinet esposte e a credenziali VPN compromesse. Sophos cita ricerche di terze parti (Group-IB) secondo cui gli affiliati di The Gentlemen hanno condotto attività di ricognizione su interfacce di gestione FortiGate raggiungibili da Internet, sfruttando la vulnerabilità CVE-2024-55591 di authentication bypass che colpisce FortiOS e FortiProxy. Log interni del gruppo, trapelati e analizzati esternamente, mostrano inoltre test sistematici di credenziali rubate contro una gamma di servizi VPN.

Numero di vittime pubblicate sul sito di leak di The Gentlemen

In particolare, i ricercatori CTU hanno identificato in più intrusioni elementi compatibili con lo sfruttamento di endpoint Fortinet. In una intrusione di febbraio, un attaccante ha autenticato una sessione VPN SSL Fortinet usando credenziali utente compromesse, grazie anche all’assenza di un’autenticazione MFA. Entro un'ora dall'accesso, lo stesso cybercrimnale ha creato sessioni VPN aggiuntive da indirizzi IP esteri, che erano sintomo di una fase di validazione e consolidamento dell'accesso che di solito precede l'avvio delle operazioni vere e proprie.

Questa era la parte del primo accesso. Sbrigata questa incombenza, gli affiliati di The Gentlemen hanno fatto perno su credenziali di dominio valide e strumenti di amministrazione Windows nativi per operare indisturbati. I movimenti laterali vengono effettuati tramite Remote Desktop Protocol tra server file e domain controller, mentre comandi specifici permettono di aggiungere account controllati dall'attaccante a gruppi locali e di dominio con privilegi elevati. I ricercatori hanno trovato gli strumenti d'attacco all’interno di una directory Windows legittima, fra cui software di network discovery, strumenti di esfiltrazione, utility di backup, programmi in grado di disattivare gli EDR e driver vulnerabili.

Per individuare sistemi di valore, infrastrutture di backup e repository di dati vengono impiegati Advanced IP Scanner e SoftPerfect Network Scanner. Gli attaccanti interrogano inoltre il process identifier di LSASS per predisporre il dumping delle credenziali con strumenti dedicati. La persistenza è garantita mediante l’abilitazione RDP tramite modifiche al registro di sistema, l’apertura della porta TCP 3389 nel firewall Windows e lo sfruttamento di Cloudflare come servizio per creare un tunnel di accesso remoto alternativo.

Percentuale delle vittime di The Gentlemen per settore

L'evasione dalla difesa è centrale nell'operazione: The Gentlemen fornisce agli affiliati il framework proprietario GentleKiller per la disattivazione degli EDR chiamato, che sfrutta la tecnica bring your own vulnerable driver per agire a livello del kernel e terminare i processi di sicurezza. ESET ha identificato almeno otto varianti di GentleKiller, in grado di colpire oltre 400 processi associati a 48 prodotti di sicurezza differenti. In parallelo, gli affiliati tentano di indebolire Microsoft Defender mediante esclusioni PowerShell o modifiche alle policy via registro, e disattivano i servizi di backup e ripristino, inclusi componenti Veeam, SQL Writer e Backup Exec, poco prima di distribuire il ransomware.

Anche la fase di esfiltrazione dei dati mostra flessibilità operativa: lo strumento preferito è Rclone, alternato con Restic e MinIO Client a seconda delle performance di trasferimento, del volume di dati e dei vincoli dell'ambiente colpito.

Gli esperti indicano che la difesa deve passare innanzi tutto per il rafforzamento della MFA su servizi VPN e amministrativi. Sono poi di centrale importanza il patching tempestivo dei firewall esposti su Internet, la restrizione dell'esposizione RDP e il monitoraggio di sessioni VPN anomale, in particolare login multipli dallo stesso account provenienti da indirizzi IP di Paesi diversi.