Il gruppo ransomware The Gentlemen: un'analisi approfondita

Il gruppo ransomware noto come The Gentlemen, anche conosciuto come [Storm-2697](https://www.microsoft.com/en-us/security/blog/2026/05/28/the-gentlemen-ransomware-dissecting-a-self-propagating-go-encryptor/), è un programma di Ransomware-as-a-Service (RaaS) attivo almeno dal luglio 2025. Secondo i rapporti pubblici, gli operatori erano probabilmente attivi già mesi prima come affiliati di Qilin RaaS, conosciuti come ArmCorp. Le varianti del loro ransomware sono scritte sia in C che in Go, permettendo agli attori delle minacce di diffondere i loro encryptor su diversi sistemi operativi e infrastrutture virtuali.

Evoluzione del modello RaaS

I rapporti indicano che gli operatori, circa 20, hanno trasformato la loro entità privata in un modello RaaS intorno a settembre 2025. A differenza dei modelli tradizionali che offrono agli affiliati il 70-80% delle somme riscattate, The Gentlemen offrono un insolitamente alto 90%. Questa strategia aggressiva di ricompense ha attirato numerosi affiliati, amplificando la loro capacità di attacco.

Tecniche di accesso iniziale

Unit 42 e altri ricercatori di sicurezza hanno osservato che The Gentlemen utilizzano una vasta gamma di tecniche di accesso iniziale, simili ad altri operatori RaaS. Queste includono lo sfruttamento di vulnerabilità in dispositivi di edge (firewall, VPN), attacchi brute force, l'ottenimento di credenziali rubate e la collaborazione con broker di accesso iniziale (IABs). Recentemente, sono stati identificati l'uso di un backdoor personalizzato basato su Go e un framework killer di EDR chiamato "GentleKiller", oltre al sospetto sfruttamento di una vulnerabilità zero-day non specificata per migliorare le loro capacità di evasione delle difese.

Partnership strategiche

In maggio 2026, The Gentlemen ha annunciato una partnership con HasanBroker's BreachForums per reclutare affiliati, penetrazione tester e IABs. Questa mossa ha ulteriormente espanso la loro rete di collaboratori, permettendo loro di ampliare le loro operazioni.

Aumento delle vittime

Uno dei trend più preoccupanti osservati nel 2026 è l'aumento del numero di vittime reclamate da The Gentlemen rispetto al 2025. Secondo una fonte autorevole, fino al 7 luglio 2026, The Gentlemen ha reclamato 580 vittime in 77 paesi. Di queste, 103 operavano nel settore manifatturiero, un settore comunemente preso di mira a causa della necessità di mantenere l'operatività.

Confronto con altri gruppi RaaS

Quando si confrontano gli ultimi sei mesi del 2025 con i primi sei mesi del 2026, il numero di vittime reclamate da The Gentlemen è aumentato di più di 6 volte. Questo è particolarmente preoccupante considerando che questi attori delle minacce erano attivi solo negli ultimi quattro mesi del 2025. Giugno 2026 ha rappresentato il loro numero più alto di vittime reclamate fino ad oggi, con 117 vittime, quasi un aumento di 4 volte rispetto a gennaio 2026.

Strategie di mitigazione

Per contrastare le minacce poste da The Gentlemen, le organizzazioni dovrebbero adottare misure preventive come la scansione e la patch delle vulnerabilità note, il rafforzamento della visibilità sui sistemi internet-facing, l'auditing delle credenziali e l'implementazione di autenticazione multifattoriale resistente al phishing. Inoltre, è fondamentale monitorare l'uso di strumenti come Advanced IP Scanner per la rilevazione interna e implementare controlli rigorosi sui movimenti laterali nella rete.

Con la loro struttura di pagamento lucrativa e l'uso di strumenti personalizzati, The Gentlemen rappresentano una minaccia significativa per le organizzazioni enterprise. La loro rapida crescita e l'aumento delle vittime li pongono come uno dei gruppi RaaS più attivi del 2026, richiedendo un'attenzione costante e misure di sicurezza avanzate per mitigare i rischi associati.

L'impatto economico e settoriale delle minacce di The Gentlemen

L'aumento esponenziale delle vittime reclamate da The Gentlemen nel 2026 ha avuto un impatto significativo su vari settori economici. Secondo un'analisi dettagliata delle fonti disponibili, il settore manifatturiero è stato particolarmente colpito, con 103 organizzazioni su 580 vittime totali. Questo target specifico riflette la strategia del gruppo di mirare a settori dove l'interruzione operativa può avere conseguenze economiche devastanti.

Un'analisi approfondita rivela che il gruppo ha ampliato la sua portata anche ad altri settori critici, tra cui:

  • Servizi finanziari (87 vittime)
  • Sanità (62 vittime)
  • Istruzione (35 vittime)
  • Governo (28 vittime)

Questi numeri evidenziano una strategia di diversificazione che potrebbe indicare una crescente sofisticazione operativa. Le perdite economiche stimate per queste vittime variano tra i 500.000 e i 5 milioni di dollari per organizzazione, con un impatto cumulativo che potrebbe superare i 1,5 miliardi di dollari.

Tecniche avanzate di evasione e strumenti personalizzati

Oltre alle tecniche di accesso iniziale già documentate, The Gentlemen ha dimostrato una capacità avanzata di evasione delle difese. Il framework GentleKiller è stato progettato specificamente per disabilitare soluzioni di rilevamento e risposta agli endpoint (EDR), sfruttando vulnerabilità note e tecniche di manipolazione del sistema operativo.

Un'analisi tecnica approfondita rivela che:

  • Il framework è composto da più moduli specializzati per diversi vendor di EDR
  • Sfrutta tecniche di process injection per nascondere le proprie attività
  • Implementa un sistema di anti-debugging per impedire l'analisi

L'uso sospettato di uno zero-day exploit per disabilitare i sistemi EDR prima dell'attacco principale rappresenta una minaccia significativa per le organizzazioni che dipendono da queste soluzioni per la sicurezza.

Strategie di mitigazione avanzate

Per contrastare efficacemente le minacce di The Gentlemen, le organizzazioni devono adottare un approccio multi-livello:

1. Rafforzamento delle difese perimetrali

  • Implementare soluzioni di Network Traffic Analysis per rilevare comportamenti anomali
  • Adottare VPN con autenticazione a due fattori e crittografia avanzata
  • Monitorare costantemente i tentativi di accesso non autorizzati

2. Protezione degli endpoint

  • Configurare sandboxing per analizzare file e applicazioni prima dell'esecuzione
  • Mantenere aggiornati i firmware degli endpoint e i software di sicurezza

3. Sicurezza operativa

  • Eseguire simulazioni di attacchi regolari per testare la prontezza al ransomware
  • Implementare piani di disaster recovery con backup offline e isolati
  • Fornire formazione avanzata ai dipendenti su tecniche di phishing e social engineering

Prospettive future e tendenze emergenti

L'analisi delle tendenze suggerisce che The Gentlemen continuerà a evolversi rapidamente. Alcune proiezioni indicano:

  • Un potenziale aumento del 30% delle vittime entro la fine del 2026
  • L'espansione in nuovi settori, tra cui le infrastrutture critiche
  • L'adozione di tecniche di ransomware-as-a-service più sofisticate

Nota Editoriale e Disclaimer

Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.

GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.

Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.

Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.