O grupo de ransomware Gentlemen está explorando drivers de kernel legítimos da Lenovo e da Safetica para encerrar softwares de segurança, enfraquecendo as defesas dos endpoints antes da criptografia.
Pesquisadores da Unidade de Pesquisa de Ameaças da Acronis identificaram duas amostras personalizadas de droppers durante um incidente recente, o que expôs como o grupo arma drivers vulneráveis, em vez de depender exclusivamente de comandos convencionais de encerramento de processos.
A técnica, conhecida como BYOVD (de “bring your own vulnerable driver”, ou “traga seu próprio driver vulnerável”), transforma componentes de software confiáveis em ferramentas de ataque privilegiadas.
Neste incidente, os loaders maliciosos instalaram os drivers como serviços, enumeraram os processos em execução e enviaram solicitações de encerramento quando os nomes dos processos coincidiam com alvos de segurança fixos no código.
As amostras implantaram o ProcessMonitorDriver da Safetica, versão 11.26.18, e o BootRepair.sys da Lenovo, versão 2.5.30.11281.
Os nomes de arquivo gerados foram STProcessMonitorNew_clone_03_FC21F904.sys e PhantomKiller_clone_04_94354C0F.sys, respectivamente.
O driver da Safetica expõe uma interface de controle de entrada e saída (IOCTL) insuficientemente protegida, que permite encerrar processos. A falha foi catalogada como CVE-2025-70795 (sigla de Common Vulnerabilities and Exposures, ou vulnerabilidades e exposições comuns). A Safetica listou o problema em sua base de conhecimento de segurança.
O driver da Lenovo expõe, de forma semelhante, uma interface de dispositivo capaz de encerrar processos arbitrários por meio de um handler IOCTL não autenticado.
Antes da implantação, o dropper recupera nomes de arquivos e caminhos embutidos por meio de uma rotina de desofuscação baseada em XOR (operação ou exclusivo).
Diversas ramificações condicionais dificultam a análise, mas a operação subjacente deriva repetidamente uma chave e transforma dados codificados.
Após carregar o driver, o malware compara os nomes dos processos em execução com sua lista de alvos. Para as entradas correspondentes, ele envia o identificador do processo por meio de uma solicitação IOCTL.
Pesquisadores da Acronis observaram que o ransomware Gentlemen é um provedor de ameaças do tipo ransomware como serviço (RaaS, de ransomware-as-a-service), de língua russa, que surgiu pela primeira vez em meados de 2025.
Drivers da Lenovo explorados
Em seguida, o driver invoca ZwOpenProcess e ZwTerminateProcess, levando a operação de encerramento para o contexto do kernel.
A amostra define para si a maior prioridade de processo usando ‘SetPriorityClass’ com o valor ‘80’, que corresponde a HIGH_PRIORITY_CLASS.
As descobertas descrevem a exploração de componentes vulneráveis, e não evidências de que a Lenovo ou a Safetica distribuíram o ransomware.
O grupo de língua russa surgiu com marca própria de ransomware em meados de 2025, após supostamente participar de operações de afiliados do LockBit e do Qilin. Anteriormente conhecido como ArmCorp e Phantom Mantis, oferece aos afiliados até 90% dos valores obtidos com os resgates.
Segundo a pesquisa fornecida, a operação reivindica mais de 800 vítimas, principalmente nos Estados Unidos e na Europa.
Os dados vazados são organizados em pastas com arquivos roubados e não criptografados, que qualquer pessoa que acesse o site pode baixar. O site também oferece links e códigos QR (de quick response, ou resposta rápida) para chats no SimpleX e no Tox, usados para se comunicar com os criminosos.
Esses números representam alegações criminosas, e não comprometimentos verificados de forma independente. Manufatura, tecnologia, saúde, serviços profissionais e varejo aparecem com destaque entre os alvos relatados.
O ransomware, escrito na linguagem Go, oferece suporte a ambientes Windows, Linux, NAS (armazenamento conectado em rede) e BSD (distribuição Unix derivada de Berkeley).
Em maio de 2026, uma invasão à infraestrutura do grupo teria exposto comunicações internas, negociações, informações sobre afiliados e discussões sobre ferramentas, oferecendo mais visibilidade sobre sua organização e suas conexões com o ecossistema do Qilin.
O ransomware também desativa o monitoramento do Microsoft Defender, adiciona exclusões amplas, apaga registros de eventos e remove históricos de comandos do PowerShell.
Ele tem como alvo processos de banco de dados, virtualização, backup e segurança, e exclui cópias de sombra de volume (Volume Shadow Copies) para dificultar a recuperação.
A persistência inclui as tarefas agendadas UpdateSystem e UpdateUser, além das entradas de execução no registro GupdateS e GupdateU. A propagação opcional usa PowerShell e PsExec para alcançar estações de trabalho adicionais.
A criptografia de arquivos usa ChaCha20, com chaves e nonces exclusivos por arquivo. A versão analisada acrescenta a extensão .cyvzca e grava notas de resgate README-GENTLEMEN.txt, embora as extensões variem entre as versões.
Para os defensores, a principal preocupação é o comprometimento coordenado da segurança: carregamento de drivers, encerramento de endpoints, interrupção de backups e criptografia atuam como etapas complementares.
Monitorar serviços inesperados de drivers de kernel, junto com encerramentos repentinos de processos de segurança e alterações na configuração do Defender, pode ajudar a conectar essas atividades antes que a criptografia tome conta do incidente.
A investigação da Acronis relaciona essas descobertas técnicas à operação de dupla extorsão do grupo, em que as informações roubadas geram pressão adicional além dos sistemas criptografados.
Indicadores de comprometimento
Nota: endereços IP (Internet Protocol) e domínios foram intencionalmente alterados (por exemplo, com [.] no lugar do ponto) para evitar resolução ou links acidentais. Eles devem ser recompostos apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gerenciamento de informações e eventos de segurança).
