I ricercatori seguono gli indizi fino all’operatore del gruppo ransomware The Gentlemen

I ricercatori di sicurezza affermano di aver ricostruito una serie di indizi che potrebbe collegare l’amministratore dell’operazione ransomware-as-a-service nota come The Gentlemen a un’identità reale. Il gruppo è rapidamente diventato una delle gang ransomware più attive di quest’anno, anche grazie a un programma di affiliazione insolitamente generoso che offre agli attaccanti il 90% dei pagamenti dei riscatti, secondo gli analisti di Check Point Software.

Check Point ha dichiarato che il gruppo ha rivendicato almeno 332 vittime dalla sua comparsa, a metà del 2025, di cui oltre 240 segnalate soltanto nel 2026. L’azienda ha inoltre affermato che The Gentlemen tende a concentrarsi su sistemi esposti a Internet, come VPN e firewall, per poi procedere rapidamente alla distribuzione della cifratura nelle reti delle vittime.

Pseudonimi sui forum e indizi tecnici

I ricercatori affermano che la persona che gestisce l’operazione sembra utilizzare gli pseudonimi Zeta88 e Hastalamuerte su diversi forum cybercriminali. Secondo quanto riferito, una violazione dell’infrastruttura backend del gruppo ha mostrato che questo utente si occupava della compilazione del ransomware, dell’elaborazione dei pagamenti e dell’amministrazione del programma più ampio.

Intel 471, un’azienda di cyber intelligence, ha collegato la persona che si cela dietro Hastalamuerte a registrazioni su diversi forum negli ultimi anni, tra cui Breachforums, Raidforums, Exploit, Nulled e altri. Alcune registrazioni e alcuni account erano associati a indirizzi di Izhevsk, in Russia. Ulteriori dati provenienti da fonti aperte hanno collegato gli stessi identificativi online a indirizzi email correlati, account Telegram, attività su GitHub e altri nomi utente.

Constella Intelligence e altri ricercatori hanno affermato che questi elementi potrebbero indicare un uomo di nome Alexander Andreevich Yapaev, sebbene i risultati si basino ancora su attività di attribuzione e non su un’identificazione pubblica formale da parte delle forze dell’ordine. Secondo il report originale, Yapaev non ha risposto alle richieste di commento.

Perché la pista è importante

L’articolo osserva inoltre che le prime attività sui forum associate a Hastalamuerte indicavano un hacker relativamente inesperto, ancora alle prese con l’apprendimento degli strumenti offensivi di base nel 2019 e nel 2020. Questa evoluzione è coerente con il modo in cui molti attori del cybercrimine costruiscono la propria reputazione nel tempo prima di passare a operazioni più redditizie.

In un aggiornamento pubblicato l’11 giugno, il gruppo di ricerca sulle minacce PRODAFT ha affermato che la propria analisi coincideva con la stessa persona con un elevato livello di confidenza. PRODAFT ha aggiunto che l’operatore sembra fornire agli affiliati l’accesso iniziale, spesso tramite credenziali Fortinet SSL-VPN, e potrebbe utilizzare l’intelligenza artificiale per contribuire allo sviluppo del malware e supportare le attività successive alla compromissione.

Come per altri tentativi di attribuzione descritti nei report sul cybercrimine, i risultati dovrebbero essere letti come una valutazione basata su elementi probatori, non come un’identificazione legale confermata.