ESET: כנופיית Gentlemen מספקת לשותפיה את GentleKiller, כלי נגד מאות תהליכי אבטחה
ב-18 ביוני 2026 פרסמה ESET ניתוח של GentleKiller, כלי להשבתת EDR שכנופיית הכופרה Gentlemen פיתחה בעצמה. יש לו שמונה גרסאות, וכל אחת מתחזה למוצר אחר.
TL;DR בקצרה
- ESET זיהתה שמונה גרסאות של GentleKiller, וכל אחת מתחזה למוצר אחר ומנצלת דרייבר אחר.
- הכלי מכוון למעל 400 תהליכים של 48 ספקי אבטחה, לפי ESET, שמזהירה מטעויות מיפוי קלות.
- לפי דליפה פנימית ממאי 2026, מפעילי Gentlemen בוחרים קורבנות בעיקר לפי הגדרות לא תקינות ב-FortiGate.
- ESET לא פרסמה הנחיות הגנה, אבל חסימת דרייברים פגיעים של Microsoft וחיזוק ה-FortiGate מצמצמים את הסיכון.
חוקרי ESET פרסמו ב-18 ביוני 2026 ניתוח של GentleKiller, כלי שמשבית מערכות EDR ושייך לכנופיית הכופרה Gentlemen. EDR היא מערכת הגנה שמנטרת מחשבי קצה. לפי ESET, זה הכלי היחיד מסוגו שהמפעילים פיתחו בעצמם. הוא קיים בלפחות שמונה גרסאות, והכנופיה מספקת אותו לשותפיה.
איך GentleKiller מכבה EDR באמצעות דרייברים פגיעים
הכלי משתמש בשיטה בשם BYOVD. התוקף מביא למחשב דרייבר חתום אבל פגיע, וטוען אותו. הדרייבר רץ בליבת מערכת ההפעלה, ולכן הוא מאפשר לעצור תהליכי הגנה.
כל גרסה של GentleKiller מתחזה למוצר אחר ומנצלת דרייבר אחר. אחת מתחזה ל-Kaspersky, ואחרת ל-Valorant. עוד גרסאות מתחזות ל-FACEIT Anti-Cheat, ל-Javelin ול-WatchDog. לפי ESET, הכלי מכוון למעל 400 תהליכים. כלי מבוסס AI מיפה אותם ל-48 ספקים, ו-ESET מזהירה שייתכנו טעויות קלות.
לפי BleepingComputer, ברשימה מופיעים ספקים גדולים כמו Microsoft ו-CrowdStrike. הכלים ארוזים עם Enigma או Themida, לפי ESET. הם גם מציגים מידע גרסה מזויף, סמל מועתק וחתימה מועתקת שאינה תקפה.
הכנופיה מגיבה מהר. לדברי ESET, היא התאימה גרסאות תוך ימים מפרסום קוד ההוכחה של UnknownKiller ו-PoisonKiller. כלומר, דרייבר פגיע שחוקרים פרסמו עלול להיכנס לכלי בתוך ימים.
הכלים האחרים של Gentlemen לצד GentleKiller
ESET מצאה בשימוש גם שלושה כלים של אחרים. HexKiller קשור לקבוצת Warlock, והוא מנצל דרייבר של Baidu. ThrottleBlood הופיע בתקיפות של MedusaLocker ושל DragonForce. HavocKiller נחשף בידי Huntress ב-19 במרץ 2026, ומנצל דרייבר שמע של Huawei.
לפי הטלמטריה של ESET, HavocKiller בשימוש כבר מ-23 בינואר 2026. ESET מצאה גם כלי לגניבת סיסמאות בשם OxideHarvest, שנכתב ב-Rust. היא לא מייחסת אותו למפעילים עצמם, כי Rust אינה השפה הרגילה שלהם.
מי הקורבנות של Gentlemen ואיך הם נבחרים
Gentlemen הופיעה בסוף 2025 כשירות כופרה, והיא מציעה לשותפים 90% מהכופר. היא מצפינה נתונים ומאיימת לפרסם אותם. לפי ESET, היא הייתה בין חמש הכנופיות הפעילות ביותר ברבעון הראשון של 2026.
קורבנותיה מרוכזים בדרום-מזרח אסיה, בדרום אמריקה ובמערב אירופה. ESET מזכירה תאילנד, ברזיל וצרפת. בניגוד לכנופיות רבות, אין לה דגש על ארה״ב.
דליפה פנימית ממאי 2026 מראה איך בוחרים קורבנות. לפי ESET, המפעילים בוחרים אותם במרכז, בעיקר לפי הגדרות לא תקינות ב-FortiGate, ומעבירים אותם לשותפים. BleepingComputer קושר זאת לדליפת FortiBleed, אבל ESET עצמה לא מזכירה קשר כזה.
מה זה אומר עבורכם
- הפעילו חסימת דרייברים פגיעים: לפי Microsoft, היא פעילה כברירת מחדל מאז העדכון של Windows 11 בשנת 2022. ודאו בהגדרות Windows Security שהיא לא כבויה.
- הוסיפו כלל ASR: Microsoft ממליצה על הכלל Block abuse of exploited vulnerable signed drivers. הוא חוסם כתיבה של דרייבר פגיע לדיסק.
- אל תסמכו על חסימה אחת: Microsoft מציינת שהרשימה אינה חוסמת כל דרייבר פגיע. לכן עקבו גם אחרי התקנה של דרייברים חדשים ואחרי מחשב שמפסיק לדווח ל-EDR.
- צמצמו הרשאות מנהל: טעינת דרייבר דורשת הרשאות כאלה. לכן כל משתמש שלא צריך אותן מקטין את הסיכון.
- חזקו את ה-FortiGate: לפי ESET, הגדרות לא תקינות הן קריטריון בחירה. החליפו סיסמאות, הפעילו MFA וסגרו את ממשק הניהול לאינטרנט.
- מנהלים עסק קטן? המדריך של SecureBack להגנה על עסק קטן.
מקורות והרחבה
- Killing me gently: Inside Gentlemen's EDR killer frameworkESET
- ESET Research investigates the Gentlemen ransomware gang and its defense-evasion toolsESET Newsroom
- Gentlemen ransomware uses multiple EDR killers to disable defensesBleepingComputer
- Microsoft recommended driver block rulesMicrosoft Learn
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
