The Gentlemen атакует компании по всему миру с помощью шифровальщика
The Gentlemen, финансово мотивированная операция по модели «программа-вымогатель как услуга», сформировалась на базе аффилированной группы ArmCorp, ранее связанной с Qilin. В 2025–2026 годах её масштабы быстро росли, а для вторжений, шифрования данных и кражи информации привлекались аффилированные лица. Выявленная инфраструктура указывала на большее число скомпрометированных систем, чем было опубликовано на сайте утечек.
Цели и способы проникновения
Кампании The Gentlemen обходят Россию и другие страны СНГ. Группировка атакует предприятия по всему миру, в частности организации из сфер производства, технологий, бизнес-услуг, здравоохранения и финансов.
Первоначальный доступ обычно получают, эксплуатируя уязвимости в доступных из интернета устройствах Fortinet, в том числе CVE-2024-55591. Другой способ заключается в использовании учётных данных из логов стиллеров для входа в VPN, OWA и другие службы удалённого доступа.
После проникновения операторы изучают домены, отношения доверия, серверы, общие ресурсы и топологию сети. Для этого они используют утилиты Windows, Nmap, Advanced IP Scanner, NetServerEnum и API WNet. Для закрепления и удалённого доступа применяются AnyDesk, SOCKS5-туннели SystemBC, Cobalt Strike, запланированные задачи, ключи Run в реестре и службы удалённого доступа. Аффилированные лица используют PowerRun для обхода UAC, а также уязвимые подписанные драйверы, чтобы отключать средства защиты на уровне ядра.
Действия шифровальщика в Windows
Проанализированный двоичный файл для Windows размером 2,83 МБ отключает Microsoft Defender, удаляет теневые копии томов и очищает журналы событий безопасности, системы и приложений. Он также удаляет артефакты Prefetch, Defender и RDP, а затем останавливает службы резервного копирования, баз данных, электронной почты и виртуализации.
Файл меняет разрешения на файлы с помощью команд takeown и icacls, включает обнаружение в сети и перечисляет локальные, кластерные и сетевые тома. Для распространения по сети он использует административные общие ресурсы, WMI, удалённое выполнение команд PowerShell, запланированные задачи, RPC и групповые политики. Кроме того, шифровальщик считывает файлы истории PowerShell, собирая учётные данные, имена хостов и команды.
Шифрование и особенности образца
Gentlemen шифрует файлы с помощью AES-256 или ChaCha20 и использует уникальные ключи для каждого файла. В конец файла добавляется 81-байтовый блок с ключевым материалом и маркером программы-вымогателя. Режимы частичного шифрования обрабатывают около 3%, 1% или 0,3% каждого файла, что позволяет быстро затронуть всю сеть. При скрытом выполнении исходные имена файлов и расширения могут сохраняться.
В проанализированном образце использовался контактный адрес Hapvida, характерный для этой кампании. Образец требовал пароль оператора, хранившийся в открытом виде в командах закрепления в реестре.
Криптографический дизайн надёжен, однако эфемерные закрытые ключи X25519 могут оставаться в памяти процесса Go. Потенциально их можно восстановить из памяти или из дампов аварийных остановок, полученных во время активного шифрования.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
