绅士勒索软件：揭秘勒索软件即服务操作

总结

The Gentlemen是一个说俄语的勒索软件即服务（RaaS）团伙，于2025年中期出现，之前曾作为LockBit和Qilin的附属机构运营。该团伙采用双重勒索模式，加密受害者数据，并威胁在专门的泄露网站上公布被盗信息。其操作针对使用Go语言编写的勒索软件的Windows、Linux、NAS和BSD环境。

调查

Acronis研究人员分析了The Gentlemen基础设施的泄露情况，揭露了内部通信、附属信息和与工具开发相关的讨论。技术分析发现了自定义的EDR破坏工具，这些工具滥用易受攻击的驱动程序来终止安全进程。研究人员还绘制了该组织的加密例程、持久化方法，以及涉及PsExec的横向移动活动。

缓解措施

组织应部署能够识别安全工具篡改和未经授权的驱动程序加载的EDR/XDR解决方案。保持操作系统和第三方驱动程序的最新更新对于减少易受攻击内核驱动程序的滥用至关重要。限制PowerShell的使用并保持隔离、定期测试的备份文件也强烈建议。

响应

当检测到The Gentlemen活动时，事件响应者应立即隔离受影响的系统，以防止通过PsExec或自动传播的横向移动。调查未经授权的计划任务和注册表Run键，如 GupdateS and GupdateU 以破坏持久化。审核Windows事件日志和PowerShell历史以查找删除工件和规避取证的证据。

模拟执行

• 攻击叙述及指令： 对手已获得初始访问权限并正在准备环境以进行”The Gentlemen”团伙的勒索软件部署。为了确保最大影响并防止干扰，攻击者执行了一系列指令：1）终止任何正在运行的用户应用程序，2）停止关键服务，3）通过计划任务创建持久化机制，以及4）修改目标目录的权限，以确保加密过程具有完全控制权。此模拟使用检测规则中指定的确切字符串来验证规则触发。

• 回归测试脚本：

  # 用于触发Gentlemen勒索软件检测规则的模拟脚本
  Write-Host "[+] 开始勒索软件模拟..." -ForegroundColor Cyan
  
  # 1. 触发选择1和选择2（进程终止）
  Write-Host "[+] 触发Taskkill检测..." -ForegroundColor Yellow
  Start-Process "taskkill.exe" -ArgumentList "/F /IM explorer.exe" -Wait
  
  # 2. 触发选择3（服务停止）
  Write-Host "[+] 触发Net Stop检测..." -ForegroundColor Yellow
  Start-Process "net.exe" -ArgumentList "stop Spooler" -Wait
  
  # 3. 触发选择4（持久性）
  Write-Host "[+] 触发Schtasks检测..." -ForegroundColor Yellow
  Start-Process "schtasks.exe" -ArgumentList "/Create /TN UpdateSystem /TR 'calc.exe' /SC ONCE /ST 00:00" -Wait
  
  # 4. 触发选择5（权限更改）
  Write-Host "[+] 触发Icacls检测..." -ForegroundColor Yellow
  New-Item -Path "$env:TEMPRansomSim" -ItemType Directory -Force | Out-Null
  Start-Process "icacls.exe" -ArgumentList "$env:TEMPRansomSim /grant:r everyone:F" -Wait
  
  Write-Host "[+] 模拟完成。" -ForegroundColor Green

• 清理命令：

  # 用于移除模拟过程中创建的工件的清理脚本
  Write-Host "[+] 清理模拟工件..." -ForegroundColor Cyan
  schtasks /Delete /TN UpdateSystem /F
  Remove-Item -Path "$env:TEMPRansomSim" -Recurse -Force
  Write-Host "[+] 清理完成。" -ForegroundColor Green