'The Gentlemen' RaaS: GentleKiller Çerçevesiyle EDR Bypass Aracı Setini Standartlaştırdı

ESET Researcher Jakub Souček, The Gentlemen RaaS operasyonunun GentleKiller adlı bir savunma-evasion çerçevesi etrafında olgun bir EDR sonlandırıcı araç paketini affiliate'lere dağıttığını raporladı.

Pakette HexKiller, ThrottleBlood ve HavocKiller gibi üçüncü taraf veya sızdırılmış araçlar da standartlaştırılmış paylaşılan bir defense-evasion katmanı altında birleştirilmiş. Araçlar sahte sürüm bilgileri, kopyalanmış sertifika ve ikonlar ile güvenlik satıcılarını taklit ediyor.

Bu, ransomware ekonomisinde 'managed defense evasion' kategorisinin olgunlaşmasına işaret. Affiliate'ler artık kendi EDR-kill ihtiyaçlarını çözmek zorunda değil; merkezi olarak yönetilen, sürekli güncellenen bir araç deposundan çekiyor.

Etkilenebilecek savunma kategorileri: SentinelOne, Microsoft Defender for Endpoint, CrowdStrike Falcon, Sophos Intercept X, Trend Micro Apex One. Tool'lar BYOVD (Bring Your Own Vulnerable Driver) tekniklerini sıkça kullanıyor — yasal imzalı ama bilinen güvenlik açıklı driver'ları yükleyerek EDR servisini sonlandırıyor.