A equipa de investigação da ESET divulgou uma análise detalhada às ferramentas utilizadas pelo grupo de Ransomware-as-a-Service (RaaS) Gentlemen para desativar soluções de proteção EDR (Endpoint Detection and Response).

Ao contrário da maioria dos grupos de ransomware, que deixam a cargo dos afiliados a obtenção de ferramentas para contornar software de segurança, o Gentlemen desenvolve e mantém internamente um conjunto próprio de utilitários destinados a comprometer ou desativar soluções EDR.

Segundo Jakub Souček, investigador da ESET especializado na análise deste tipo de ameaças, uma fuga de dados interna sofrida pelo grupo em maio de 2026 permitiu compreender melhor a sua estrutura e confirmar suspeitas levantadas meses antes.

A fuga de informação permitiu-nos confirmar que os operadores do Gentlemen desenvolvem e mantêm ativamente um arsenal de ferramentas de neutralização de EDR disponibilizado aos afiliados, centrado numa framework própria a que demos o nome de GentleKiller.

Segundo a ESET, o GentleKiller é a principal arma do grupo

A investigação identifica o GentleKiller como a ferramenta mais utilizada pelo grupo para desativar soluções de segurança. A ESET já identificou oito variantes distintas desta ferramenta, que simulam diferentes produtos legítimos e exploram controladores vulneráveis ou maliciosos para contornar as defesas dos sistemas.

Apesar das diferenças entre versões, todas partilham a mesma arquitetura e características internas, motivo pelo qual a ESET as agrupa sob a designação GentleKiller.

Além desta framework, os operadores recorrem também a ferramentas obtidas através de fugas de informação ou desenvolvidas por terceiros, como HexKiller, ThrottleBlood e HavocKiller.

Estas aplicações recorrem a diversas técnicas de evasão, incluindo:

  • Falsificação da identidade de fabricantes de software de segurança;
  • Utilização de informações de versão falsas;
  • Cópia de ícones e certificados digitais legítimos;
  • Exploração rápida de vulnerabilidades através da técnica Bring Your Own Vulnerable Driver (BYOVD).

Os investigadores identificaram ainda uma ferramenta destinada ao roubo de credenciais, batizada de OxideHarvest, desenvolvida por um dos afiliados da operação.

O Gentlemen surgiu no final de 2025 como uma operação de Ransomware-as-a-Service, tornando-se rapidamente um dos grupos mais ativos durante o primeiro trimestre de 2026.