Forscher verfolgen die Spuren zum Betreiber der Ransomware-Gruppe The Gentlemen

Sicherheitsforscher erklären, eine Spur rekonstruiert zu haben, die den Administrator des als The Gentlemen bekannten Ransomware-as-a-Service-Modells mit einer realen Identität in Verbindung bringen könnte. Die Gruppe hat sich in diesem Jahr schnell zu einer der aktivsten Ransomware-Banden entwickelt – auch dank eines ungewöhnlich großzügigen Partnerprogramms, das Angreifern 90 % der Lösegeldzahlungen bietet, so die Analysten von Check Point Software.

Check Point zufolge hat die Gruppe seit ihrem Auftreten Mitte 2025 mindestens 332 Opfer für sich beansprucht, davon allein 2026 mehr als 240. Das Unternehmen erklärte außerdem, dass The Gentlemen sich häufig auf aus dem Internet erreichbare Systeme wie VPNs und Firewalls konzentriert und anschließend schnell mit der Verschlüsselung in den Netzwerken der Opfer beginnt.

Foren-Aliase und technische Hinweise

Den Forschern zufolge scheint die für den Betrieb verantwortliche Person in mehreren Cyberkriminellen-Foren die Aliase Zeta88 und Hastalamuerte zu verwenden. Einem Bericht zufolge zeigte ein Einbruch in die Backend-Infrastruktur der Gruppe, dass dieser Nutzer für die Erstellung der Ransomware, die Zahlungsabwicklung und die Verwaltung des gesamten Programms zuständig war.

Intel 471, ein Unternehmen für Cyberaufklärung, brachte die Persona Hastalamuerte mit Registrierungen in mehreren Foren der vergangenen Jahre in Verbindung, darunter Breachforums, Raidforums, Exploit, Nulled und weitere. Einige der Registrierungen und Konten waren mit Adressen in Ischewsk, Russland, verknüpft. Weitere öffentlich zugängliche Datensätze brachten dieselben Online-Aliase mit zugehörigen E-Mail-Adressen, Telegram-Konten, GitHub-Aktivitäten und anderen Nutzernamen in Verbindung.

Constella Intelligence und andere Forscher erklärten, diese Datenpunkte könnten auf einen Mann namens Alexander Andreevich Yapaev hindeuten. Die Erkenntnisse beruhen jedoch weiterhin auf einer Zuordnungsanalyse und nicht auf einer formellen öffentlichen Identifizierung durch Strafverfolgungsbehörden. Yapaev reagierte laut dem ursprünglichen Bericht nicht auf Bitten um eine Stellungnahme.

Warum die Spur wichtig ist

Der Artikel weist außerdem darauf hin, dass frühe, mit Hastalamuerte verbundene Forenaktivitäten auf einen vergleichsweise unerfahrenen Hacker schließen ließen, der 2019 und 2020 noch grundlegende Angriffswerkzeuge erlernte. Diese Entwicklung entspricht dem Muster, nach dem sich viele Akteure der Cyberkriminalität im Laufe der Zeit einen Ruf aufbauen, bevor sie zu lukrativeren Operationen übergehen.

In einem am 11. Juni veröffentlichten Update erklärte die Threat-Research-Gruppe PRODAFT, dass ihre eigene Analyse mit hoher Zuverlässigkeit dieselbe Persona bestätige. PRODAFT fügte hinzu, dass der Betreiber seinen Partnern offenbar den Erstzugang bereitstellt, häufig über Fortinet-SSL-VPN-Zugangsdaten, und möglicherweise künstliche Intelligenz zur Entwicklung von Malware sowie zur Unterstützung von Aktivitäten nach der Kompromittierung einsetzt.

Wie bei anderen Zuordnungsanalysen in der Berichterstattung über Cyberkriminalität sollten die Erkenntnisse als evidenzbasierte Einschätzung und nicht als bestätigte rechtliche Identifizierung verstanden werden.