Группировка The Gentlemen развернула дроппер для отключения защиты конечных устройств
Русскоязычная группировка The Gentlemen, работающая по модели предоставления программ-вымогателей как услуги, появилась в середине 2025 года. По имеющимся данным, до этого она была аффилированным лицом LockBit и Qilin и использовала имена ArmCorp и Phantom Mantis. Разработанная на Go программа-вымогатель нацелена на системы Windows, Linux, NAS и BSD. Она шифрует файлы, а данные в некоторых случаях могут быть выведены для давления на жертву угрозой публикации. The Gentlemen заявляет о более чем 800 жертвах, преимущественно в США и Европе. Среди затронутых секторов группировка называет производство, технологии, здравоохранение, профессиональные услуги и розничную торговлю.
Работа Windows-варианта
Windows-вариант требует заранее заданный пароль и поддерживает параметры fast, superfast, ultrafast и spread. Программа повышает приоритет своего процесса, отключает мониторинг в реальном времени Microsoft Defender и добавляет исключения для диска C: и собственного процесса. Она также удаляет историю PSReadLine PowerShell из профилей пользователей.
Перед шифрованием программа удаляет теневые копии томов, меняет настройки брандмауэра и включает обнаружение сети. Кроме того, она отключает брандмауэр Windows для доменного, частного и общедоступного профилей. PowerShell и WMIC используются для перечисления логических дисков. Утилита icacls может применяться для изменения владельцев и разрешений файлов, а attrib удаляет атрибут только для чтения.
Программа завершает процессы и службы, связанные с базами данных, виртуализацией, программным обеспечением для резервного копирования, почтовыми приложениями, инструментами удалённого администрирования и средствами защиты. Закрепление обеспечивают записи Run с именами GupdateS и GupdateU в HKLM и HKCU.
Файлы размером менее 1 МБ шифруются целиком. Более крупные файлы программа делит на фрагменты и шифрует приблизительно 9% каждого из них. Для каждого файла создаются случайный 32-байтовый ключ и 12-байтовый одноразовый номер (nonce). Ключ защищается схемой согласования ключей на эллиптических кривых и встроенным открытым ключом.
Распространение и отключение средств защиты
При включённом параметре spread программа определяет контроллер домена с помощью PowerShell и инструментов Active Directory. Затем она загружает PsExec, копирует себя на другие рабочие станции и запускает там свои копии.
Группировка также развернула дроппер, предназначенный для отключения EDR. Он устанавливает уязвимые драйверы Safetica ProcessMonitor и Lenovo BootRepair.sys, обнаруживает целевые процессы и завершает их работу с помощью запросов IOCTL к драйверу. Уязвимость Safetica отслеживается как CVE-2025-70795.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
