Хакер-партнёр группировки The Gentlemen открыл собственный сайт утечек и кинул даже своих кидал

Хакер под ником Azazel, работавший в паре с вымогательской группировкой The Gentlemen, атаковал 24 организации в шести странах и утащил десятки терабайт данных. Затем он запустил собственный сайт утечек Leakned и начал забирать выкуп себе, в обход создателей вымогательского сервиса. Об этом рассказали исследователи CloudSEK, добравшиеся до двух серверов хакера.

Отчёт вышел пятого октября. На серверах нашлись терабайты данных, инструменты для атак и следы активных взломов, а среди жертв оказались логистика, страхование, фарма, производство медоборудования, ИТ и госсектор. Сам Azazel русскоязычный, но жадность, как выяснилось, интернациональна.

The Gentlemen работает по модели RaaS, то есть сдаёт другим хакерам готовый шифровальщик и инфраструктуру в аренду за долю с выкупа. Azazel сначала выдоил жертв, потом кинул самих арендодателей, а их же серверы и вирусы продолжали работать на него бесплатно, как криминальная матрёшка. Масштаб группировки Check Point и другие аналитики описали цифрами:

• группировка появилась в 2025 году, а в сентябре перешла на партнёрскую модель;
• хакерам-партнёрам отдают 90% выкупа, создателям платформы остаётся 10%;
• к апрелю набралось более 320 заявленных жертв, причём около 240 атак пришлись на первые месяцы 2026 года;
• на сервере одного из партнёров нашли следы более 1570 потенциально взломанных корпоративных систем.

За готовый шифровальщик, панель управления и переговорную инфраструктуру партнёры платят всего 10%, поэтому опытные хакеры охотно перебегали к The Gentlemen от конкурентов, о чём писала Check Point. Но чем больше платформа зависит от независимых исполнителей, тем слабее контролирует свой бизнес. Партнёр сам получает доступ к жертве, сам ведёт переговоры и в любой момент может решить, что делиться ему не хочется.

Первая схема Azazel строилась на забытых секретах в GitLab. Удалить пароль из актуальной версии проекта мало, потому что токены и ключи API остаются в старых версиях кода, а хакер перелопачивал репозитории и прошлые правки специальными утилитами. В репозиториях жертв он вытащил:

• учётные данные баз Oracle и PostgreSQL;
• ключи API к разным сервисам;
• приватные SSH-ключи;
• токен доступа JWT, который разработчики убрали из новой версии проекта, но забыли про старые.

Для российских команд, которые держат код на собственных GitLab-серверах, это прямой повод устроить ревизию старых версий. С этими ключами хакер ходил по инфраструктуре как по своей квартире, потому что в его арсенале нашлись инструменты для работы с базами, мониторингом, облачными хранилищами и Kubernetes.

Вторая атака началась с уязвимости SSRF в ИИ-сервисе для обработки медицинских снимков, из-за которой сервер можно было заставить лезть во внутренние ресурсы, закрытые от внешней сети. Несколько недель Azazel шарился по хранилищам, мониторингу и Kubernetes и унёс около шести ТБ данных.

Интересно, что ИИ-сервис стал для хакера не очередной целью, а входной дверью в инфраструктуру.

Исследователи восстановили цепочку действий и разложили её по шагам:

• вход через ИИ-сервис, извлечение и расшифровка секретов;
• восстановление токена JWT из старых версий кода;
• доступ к системам мониторинга;
• выгрузка данных из хранилища MinIO;
• поиск конфигов Kubernetes и SSH-ключей.

CloudSEK нашла признаки того, что Azazel использовал ИИ-ассистента для кодинга и Model Context Protocol, он же MCP, чтобы выполнять команды на взломанной машине. Протокол придумали для связи ИИ-моделей с файлами, базами и приложениями, а хакер превратил его в канал управления. Исследователи отметили, что это подтверждённый случай боевого применения MCP в преступной кампании, а в арсенале нашлись ещё и сканеры открытых MCP-портов. Российские компании тоже спешно подключают ИИ-агентов к внутренним системам, и компрометация агента даёт атакующему куда больше возможностей, чем украденный пароль.

Более 50 ТБ выделенной инфраструктуры Azazel использовал для управления атаками и хранения краденого, причём на одном сервере лежало около 29 ТБ, а ещё около 22 ТБ в долгосрочном хранилище. Данные шли от жертвы через промежуточные серверы в хранилища MEGA, и это снижало зависимость хакера от The Gentlemen. Обычно группировка сама публикует данные тех, кто отказался платить, ведь двойное вымогательство строится на краже, шифровании и угрозе слива, а Azazel перенёс эту витрину к себе. Для самой группировки Leakned означал потерю контроля по всем направлениям:

• создатели платформы не видели полный объём добычи партнёра;
• не контролировали переговоры с жертвами;
• не получали свою долю выкупа;
• продолжали бесплатно поставлять инструменты для атак.

Стоит обратить внимание, что в мае 2026 года у самой The Gentlemen утекли внутренние переписки, и аналитики нашли в них признаки использования ИИ при разработке инфраструктуры.

Microsoft отдельно отслеживает The Gentlemen как Storm-2697 и описывает вымогатель как написанный на Go и способный сам расползаться по сети. После первого доступа он применяет несколько методов бокового перемещения, и шифрование быстро накрывает большое число систем.

Эксперты CISOCLUB отметили, что партнёрские схемы в мире вымогателей хрупки по своей природе, ведь лояльность партнёра держится на деньгах, а при наличии собственных серверов и сайта утечек эти деньги проще забрать целиком. Забытые секреты в репозиториях остаются одной из самых дешёвых точек входа, поэтому сканировать нужно все прошлые версии кода, а найденные токены и ключи сразу перевыпускать.

ИИ-сервисы с доступом к внутренним данным нужно закрывать от SSRF и жёстко ограничивать им исходящие запросы. MCP-серверы и агентов с правом запускать команды стоит держать в изолированных сегментах, выдавать им минимум прав и не светить порты в интернет. Подпольный бизнес, который строится на доверии воров друг к другу, получил собственный инсайдерский риск, и вряд ли последний.

Ранее сообщалось, что правоохранительные органы 10 стран при участии Europol и Eurojust провели операцию KillSwitch против вымогательской группировки KillSec. В ходе операции были отключены её серверы и домены, а также сайт, использовавшийся для публикации украденных данных. Следователи связывают группировку примерно с 1000 атаками по всему миру, а её основным оператором считают 16-летнего подростка.