The Gentlemen RansomwareHöflicher Name, harte Methoden – ein Operator-getriebenes RaaS aus dem Jahr 2025

Kurz & schmerzhaft

The Gentlemen ist eine RaaS-Crew mit erfahrenem Operator-Kern. Sie kombiniert Double-Extortion mit einem aggressiv kalkulierten 90/10-Affiliate-Modell und einem Cross-Platform-Locker, der Windows, Linux, NAS, BSD und ESXi gleichzeitig abdeckt. Stand 07/2026: über 530 öffentlich gelistete Opfer in rund 75 Ländern, Schwerpunkt Manufacturing, Technology, Business Services und Healthcare. Durchschnittliche Verzögerung zwischen Breach und Leak: 82 Tage – wer in Deutschland produziert oder Tier-1-Zulieferer ist, sollte The Gentlemen ernst nehmen.

Wer steckt hinter The Gentlemen?

Erste Entwicklungsspuren reichen bis Juli 2025 zurück, ab August 2025 lief der Locker produktiv. Was Analysten aufhorchen ließ: Die Crew agiert nicht wie ein Anfänger. Saubere Cross-Platform-Codebasis, durchdachtes Build-System, password-protected Payloads, gezielte ESXi-Optimierung – das alles sieht nach Akteuren aus, die schon vorher in anderen RaaS-Familien gearbeitet haben.

Das Geschäftsmodell ist klassisches Double Extortion: Daten werden vor der Verschlüsselung exfiltriert, anschließend wird mit Veröffentlichung auf der Darknet-Leak-Seite gedroht. Diese Kombination aus operativer Disruption, Reputations- und Compliance-Druck (DSGVO, NIS2) ist das, was The Gentlemen so gefährlich macht – nicht der Verschlüsselungsalgorithmus an sich.

Technisch ist der Locker primär in Gogeschrieben, mit Varianten für Windows, Linux und ESXi. Die Ausführung erfordert ein Passwort als Startparameter – ein klassisches Kontrollmerkmal, das versehentliche Detonation in Analyse-Labs verhindert und auf eine bewusst operator-getriebene Deployment-Strategie hindeutet.

Wenn die Erpresser selbst erpressbar werden

Am 4. Mai 2026 wurde die komplette Backend-Datenbank von The Gentlemen selbst öffentlich – mutmaßlich durch eine Schwachstelle beim Hosting-Anbieter 4VPS. Der Administrator bestätigte den Vorfall intern. Check Point Research hat die Daten ausgewertet, eingeordnet und an internationale Strafverfolgungsbehörden übergeben. Aus Wasacon-Sicht ist dieser Selbst-Leak der bislang detaillierteste Innenblick in eine aktive Top-Tier-RaaS-Operation des Jahres 2026.

Das RaaS-Programm

Im September 2025 tauchte in einem Untergrundforum eine offene Werbung für The Gentlemen RaaS auf: gezielte Ansprache von Teams und Einzeloperatoren, klare Affiliate-Konditionen, professioneller Auftritt. Affiliates erhalten 90 % der Lösegeldsumme und führen die Verhandlungen mit den Opfern selbst, während die Operatoren Backend, Leak-Infrastruktur und Krypto übernehmen.

Beworben wird eine Cross-Platform-Familie: Windows, Linux, NAS, BSD und ein dedizierter ESXi-Locker. Geschrieben in Go und C, hybride Verschlüsselung mit XChaCha20 + Curve25519, password-protected Builds, partial- oder full-Encryption-Modes, automatisierte Netzwerk-Discovery, Hintergrund-Ausführung. Der ESXi-Locker ist mit Multithreading und kontrollierter VM-Handhabung ausgelegt – ein klarer Hinweis darauf, dass The Gentlemen Virtualisierungs-Backbones gezielt jagt.

Zielprofil: Branchen & Größen

The Gentlemen zielt fast ausschließlich auf mittlere bis große Organisationen mit komplexen Enterprise-Umgebungen. Genau dort, wo zentrale Identitäts-Stacks, gemeinsame Infrastruktur und tiefe Lieferanten-Abhängigkeiten den Schaden multiplizieren.

Geographisch verteilen sich die über 530 bekannten Opfer auf rund 75 Länder, mit klarer Tendenz zu wirtschaftlich reifen Märkten. Aus deutscher Sicht entscheidend: Deutschland steht mit 16 Listings auf Rang 8 – kombiniert mit der starken europäischen Präsenz (UK 17, Italien 16, Frankreich 19) und dem Manufacturing-/Tech-Fokus passt das exakt auf das Profil des deutschen Mittelstands.

Techniken im Detail

Initial Access

Einstieg über internet-exponierte Dienste – insbesondere FortiGate- und VPN-Management-Interfaces – oder über kompromittierte Admin-Zugänge. Klassisches Initial-Access-Broker-Material, nichts Exotisches, aber tödlich wenn Patch-SLA und Konfiguration nicht stimmen.

Reconnaissance

Nach dem Foothold mapped die Crew die Umgebung mit Tools wie Advanced IP Scanner und Active-Directory-Queries: Domain-Admins, privilegierte Accounts, Shares, kritische Server.

Privilege Escalation

Volle Kontrolle via PowerRun.exe: UAC-Bypass, Prozesse mit SYSTEM-Rechten. Legitime Tools, die in den meisten EDRs ohne Alarm laufen.

Defense Evasion (BYOVD)

Kern-Stärke der Gruppe. Signierte verwundbare Treiber (BYOVD), eigene Tools wie All.exe mit ThrottleBlood.systerminieren AV/EDR-Prozesse. Das Toolset wird adaptiv an den jeweiligen Security-Stack des Opfers angepasst – ein Hinweis auf manuelles Operating, nicht reine Automatisierung.

Lateral Movement

PsExec über SMB-Admin-Shares. Funktional, leise, blendet sich in normalen Admin-Traffic ein.

Deployment & Impact

Verteilung zentral über Domain-Ressourcen wie NETLOGON-Shares, mit password-protected Payload. Vor der Verschlüsselung: Stop von Backup-, Datenbank-, Virtualisierungs- und Security-Services, Löschen von Logs und Recovery-Artefakten. Anschließend Append-Extension .7mtzhh, Ransom-Note README-GENTLEMEN.txt – und der Druck-Timer auf der Leak-Seite läuft.

So verteidigen sich Unternehmen

Gegen The Gentlemen helfen klassische Signatur-Lösungen wenig. Was wirkt, ist die konsequente Verschiebung in Richtung Privileged-Abuse- Prevention und früher Verhaltens-Detektion – also alles, was Recon, Evasion und Lateral Movement vor der Verschlüsselung sichtbar macht.