Ransomware nutzt SYSTEM-Scheduled Task für Verschlüsselung mit erhöhten Rechten

The Gentlemen fungiert als Ransomware-as-a-Service (RaaS)-Plattform, was bedeutet, dass die Kernentwickler anderen Kriminellen, sogenannten Affiliates, Zugang zur Malware vermieten. Sie tauchte Mitte 2025 zunächst als geschlossener Kreis auf und öffnete im September 2025 ihre Türen für Affiliates.

In jüngerer Zeit haben die Betreiber eine formale Partnerschaft mit BreachForums, einem bekannten Cyberkriminalitäts-Marktplatz, geschlossen und rekrutieren aktiv Penetrationstester sowie Initial-Access-Broker, um Angriffe in ihrem Auftrag durchzuführen.

Microsoft Threat Intelligence, das die Gruppe hinter der Malware als Storm-2697 identifiziert, stellte fest, dass die Betreiber eine Double-Extortion-Strategie anwenden.

Dabei verschlüsseln sie die Daten des Opfers und stehlen gleichzeitig sensible Dateien, wobei sie drohen, die gestohlenen Informationen öffentlich zu veröffentlichen, falls das Lösegeld nicht gezahlt wird. Microsoft gab in einem Bericht, der mit