TukTuk: il framework C2 di Gentlemen e gli EDR killer

Il ransomware Gentlemen ha fatto un salto di qualità e il nome che circola tra gli addetti ai lavori è TukTuk. Non si tratta del solito malware isolato, ma della prova concreta che dietro questo gruppo criminale c’è un ecosistema operativo maturo, modulare e industrializzato. Le analisi pubblicate tra maggio e luglio 2026 da ricercatori come ESET, Security Affairs e Gurucul hanno svelato un arsenale che combina controllo remoto, tecniche BYOVD per disattivare gli EDR e sistemi di furto credenziali su scala. In questo articolo vediamo cosa significa davvero questa scoperta, quali tecniche vengono usate e, soprattutto, come un’azienda può difendersi.

Cos’è TukTuk e perché cambia le regole del gioco

TukTuk è un framework C2 (Command and Control) cross-platform, in alcuni casi associato anche a EtherRat, usato dagli operatori di Gentlemen per gestire da remoto le macchine compromesse. Fin qui, niente di nuovo rispetto ad altri gruppi ransomware. Quello che rende TukTuk interessante è il contesto in cui è stato trovato: su un singolo server compromesso, gli analisti hanno scoperto non solo il C2, ma un intero set di strumenti integrati e coordinati tra loro.

Questo significa che gli affiliati di Gentlemen non improvvisano. Lavorano con una cassetta degli attrezzi standardizzata, pensata per essere replicata su più vittime con un’efficienza da manuale operativo. È la differenza tra un ladro che si arrangia con un piede di porco e una squadra che usa strumenti professionali, testati e distribuiti da un centro di comando.

La suite di EDR killer: GentleKiller e compagni

Uno degli elementi più preoccupanti emersi dalle indagini è la presenza di una vera e propria suite di strumenti per disattivare EDR e antivirus. I nomi individuati dai ricercatori sono:

• GentleKiller — con almeno 8 varianti conosciute
• EDRKiller
• WarsawKiller
• UnknownKiller

Questi tool sfruttano la tecnica BYOVD (Bring Your Own Vulnerable Driver): gli attaccanti caricano driver legittimi ma vulnerabili (nelle analisi sono stati osservati eb.sys e wsftprm.sys) per ottenere privilegi a livello kernel. Da lì, possono spegnere i prodotti di sicurezza senza che questi riescano a reagire. È un po’ come disattivare l’allarme di una casa entrando dal seminterrato invece che dalla porta principale: il sistema di sicurezza è ancora lì, ma non vede nulla.

Il fatto che esistano più varianti dello stesso strumento, mantenute e aggiornate centralmente, conferma quanto scritto da ESET Research: siamo di fronte a un prodotto sviluppato con logiche quasi aziendali, non a un tool artigianale.

DLL sideloading e furto credenziali: la porta d’ingresso

Prima di arrivare a disattivare gli EDR, gli attaccanti devono entrare. E qui entra in gioco una tecnica classica ma sempre efficace: il DLL sideloading. Nel caso osservato, l’applicazione legittima Greenshot.exe è stata abbinata a una DLL malevola chiamata log4net.dll, caricata al posto di quella originale. Il software legittimo diventa così, senza saperlo, il veicolo dell’infezione.

A questo si aggiunge una componente di credential harvesting particolarmente insidiosa: prompt falsi di Windows Security, graficamente identici a quelli originali, usati per catturare credenziali locali o di dominio. Una volta ottenute, queste credenziali permettono movimenti laterali nella rete e, in diversi casi documentati, l’accesso a console cloud come AWS e Azure.

L’esfiltrazione dati via Jira: un caso emblematico

Un dettaglio che ha colpito particolarmente gli analisti riguarda l’abuso di Jira, lo strumento di ticketing usato da moltissime aziende. In un caso documentato, gli attaccanti hanno esfiltrato circa 224 ticket, segno di un processo di raccolta dati strutturato e non casuale. Non stiamo parlando di un download veloce fatto in fretta, ma di un’attività pianificata per raccogliere informazioni sensibili prima ancora di lanciare la cifratura dei dati.

Chi sono le vittime e perché questo conta

Le evidenze raccolte parlano di almeno due organizzazioni colpite: una tech company con legami al settore difesa statunitense e una struttura sanitaria con credenziali cloud compromesse. Questi target non sono casuali. Come confermano anche gli approfondimenti di Picus Security, il gruppo Gentlemen predilige settori ad alto impatto: difesa, sanità, trasporti, finanza ed education. Sono ambiti dove il danno di un blocco operativo è enorme e la pressione per pagare un riscatto è massima.

Il vero problema: la professionalizzazione del crimine informatico

Al di là dei singoli strumenti tecnici, l’aspetto più significativo di questa scoperta riguarda l’organizzazione dietro Gentlemen. Gli indizi puntano verso un modello RaaS (Ransomware-as-a-Service) evoluto:

• naming convention condivise, come la directory “GentlemenCollection”
• sviluppo centralizzato degli strumenti, distribuiti poi agli affiliati
• documentazione e materiale di supporto per chi esegue gli attacchi
• più varianti dello stesso malware, segno di manutenzione continua

In pratica, esiste una sorta di “scuola interna” che addestra gli affiliati all’uso degli strumenti, riducendo i tempi di attacco e aumentando la ripetibilità delle operazioni. Non è più il singolo hacker che sperimenta, ma un’azienda del crimine con processi di sviluppo, testing e distribuzione paragonabili a quelli del software legittimo.

Come difendersi: azioni pratiche per i team di sicurezza

Di fronte a una minaccia così strutturata, servono contromisure altrettanto organizzate. Ecco le priorità da mettere in campo, distinguendo tra azioni immediate e interventi di medio termine.

Interventi immediati

• Applicare la Microsoft Vulnerable Driver Blocklist per bloccare driver noti come vettori BYOVD
• Monitorare i caricamenti di driver insoliti, in particolare eb.sys e wsftprm.sys
• Attivare protezioni anti-tamper sugli EDR/AV per rilevare tentativi di terminazione dei processi di sicurezza
• Verificare l’integrità delle DLL caricate da applicazioni note come Greenshot, controllando gli hash SHA256

Interventi di medio termine

• Introdurre MFA obbligatorio su tutti gli account amministrativi e sugli strumenti di ticketing
• Impostare alert su esportazioni massive di dati da Jira o piattaforme simili
• Segmentare la rete e monitorare i trasferimenti outbound anomali
• Effettuare hunting periodico cercando directory sospette come “GentlemenCollection” o pattern di comportamento coerenti con la suite di EDR killer

Query di hunting da avviare subito in SOC

I team di sicurezza dovrebbero cercare, nei propri log SIEM/EDR:

1. Eventi CreateService/StartService legati a driver sospetti
2. Processi che terminano improvvisamente servizi di sicurezza
3. Caricamenti DLL da directory applicative con hash non corrispondenti alle versioni ufficiali
4. Chiamate API anomale verso Jira, specialmente export massivi o creazione di archivi zip
5. Accessi cloud sospetti, come chiamate S3 o Azure Blob eccessive da IP non riconosciuti

Conclusione

La scoperta di TukTuk non va letta come la semplice identificazione di un nuovo malware, ma come un campanello d’allarme sulla direzione che sta prendendo il crimine informatico organizzato. Il gruppo Gentlemen dimostra che oggi un attacco ransomware efficace richiede tre ingredienti integrati: un framework C2 solido, strumenti per neutralizzare le difese a livello kernel e capacità sistematiche di furto dati e credenziali. La combinazione di questi elementi, distribuita e mantenuta centralmente per gli affiliati, segna il passaggio a un modello di crimine informatico industrializzato.

Per le aziende, la lezione è chiara: non basta più affidarsi al singolo antivirus o alla protezione perimetrale. Serve un approccio multilivello che comprenda blocklist dei driver vulnerabili, monitoraggio attivo dei comportamenti anomali, MFA diffuso e hunting proattivo. Solo così è possibile intercettare per tempo una minaccia che, come dimostra il caso TukTuk, è ormai progettata per colpire in modo rapido, ripetibile e su scala.