CTT Report Hub

#ParsedReport #ChatGPT #Translated Autotext: (TI Report Analyser + ChatGPT + Auto Translate) ------ Расследование ESET Research группы Gentlemen RaaS выявило их сложный инструментарий для отключения систем EDR, в котором prominently фигурирует фреймворк GentleKiller, включающий несколько вариантов с использованием различных уязвимых драйверов. Эта группа действует на глобальном уровне, фокусируясь на Юго-Восточной Азии, Южной Америке и Западной Европе, и быстро адаптирует новые proof-of-концепты эксплойтов для наступательных целей. Кроме того, они используют инструмент для кражи учетных данных OxideHarvest, что указывает на их гибкий подход к киберкриминалу. ----- Исследователи ESET недавно провели расследование набора инструментов для уничтожения EDR, используемого группировкой программ-вымогателей как услуга (RaaS), известной как Gentlemen, которая приобрела известность в сфере программ-вымогателей с начала 2026 года. Группа выделяется полным набором инструментов, предназначенных для отключения решений обнаружения и реагирования на конечных точках (EDR). В отличие от многих других группировок программ-вымогателей, Gentlemen не фокусирует свои операции преимущественно в США. Вместо этого она нацелена на жертв по всему миру, особенно в Юго-Восточной Азии, Южной Америке и Западной Европе. Возможности Gentlemen по уничтожению EDR-решений базируются на проприетарном фреймворке, именуемом GentleKiller, который включает как минимум восемь вариантов, использующих различные уязвимые или вредоносные драйверы. Этот фреймворк интегрирован с сторонними инструментами, такими как HexKiller, ThrottleBlood и HavocKiller, все они стандартизированы для эффективного обхода средств защиты безопасности. Примечательно, что Gentlemen могут оперативно использовать новые доказательства концепции (PoC) эксплойтов Bring Your Own Vulnerable Driver (BYOVD) в течение нескольких дней после их публичного выпуска, демонстрируя свою техническую гибкость. Группа использует необычный подход, предоставляя своим аффилированным лицам хорошо развитый набор средств для обхода защиты (EDR killers), что резко контрастирует с отраслевой нормой, согласно которой аффилированным лицам обычно необходимо приобретать собственные инструменты. Эта модель снижает барьеры для входа и операционную сложность для аффилированных лиц, эффективно упрощая процесс атаки. Средства для обхода защиты (EDR killers) следуют единой стратегии обхода защиты, которая включает передовые техники защиты бинарных файлов и использование вводящих в заблуждение имен файлов для маскировки под легитимное программное обеспечение, преимущественно в секторе кибербезопасности. Инструмент GentleKiller, в частности, широко встречается в наблюдениях за операциями хакерской группировки The Gentlemen, при этом существуют варианты, имитирующие различные легитимные продукты. Он демонстрирует операционную гибкость, позволяя быстро адаптироваться к новым угрозам и уязвимостям. Кроме того, базовая архитектура фреймворка GentleKiller и его сторонних аналогов указывает на их происхождение и подтверждает участие внешних источников в разработке. Помимо инструментов для уничтожения EDR, Gentlemen также связаны с инструментом для кражи учётных данных OxideHarvest, который, несмотря на то, что написан на Rust и не соответствует основному языку разработки группы, имеет заметное присутствие в их операциях через связанного аффилиата.