Le ransomware Gentlemen : à l’intérieur d’une opération de ransomware en tant que service

Résumé

Les Gentlemen est un groupe Ransomware-as-a-Service (RaaS) russophone qui a émergé à la mi-2025 après avoir précédemment opéré en tant qu’affilié de LockBit et Qilin. Le groupe suit un modèle de double extorsion, cryptant les données des victimes tout en menaçant de publier les informations volées sur un site de fuite dédié. Ses opérations ciblent les environnements Windows, Linux, NAS et BSD en utilisant un ransomware basé sur Go.

Enquête

Les chercheurs d’Acronis ont analysé une brèche dans l’infrastructure des Gentlemen qui a exposé des communications internes, des informations sur les affiliés et des discussions liées au développement d’outils. L’analyse technique a révélé des installateurs personnalisés pour tuer les EDR qui exploitent des pilotes vulnérables pour mettre fin aux processus de sécurité. Les chercheurs ont également cartographié les routines de chiffrement du groupe, les méthodes de persistance et l’activité de déplacement latéral impliquant PsExec.

Atténuation

Les organisations devraient déployer des solutions EDR/XDR capables d’identifier le sabotage d’outils de sécurité et le chargement non autorisé de pilotes. Garder les systèmes d’exploitation et les pilotes tiers entièrement à jour est essentiel pour réduire l’exploitation des pilotes de noyau vulnérables. La restriction de l’utilisation de PowerShell et le maintien de sauvegardes isolées et régulièrement testées sont également fortement recommandés.

Réponse

Lorsque l’activité des Gentlemen est détectée, les intervenants en cas d’incident devraient immédiatement isoler les systèmes affectés pour éviter le mouvement latéral via PsExec ou la propagation automatisée. Enquêter sur les tâches planifiées non autorisées et les clés de registre Run telles que GupdateS and GupdateU pour perturber la persistance. Examiner les journaux d’événements Windows et l’historique PowerShell pour des preuves de suppression d’artefacts et d’évasion forensique.

Exécution de simulation

• Narratif et commandes de l’attaque : L’adversaire a obtenu un accès initial et prépare l’environnement pour un déploiement de ransomware par le groupe « Les Gentlemen ». Pour assurer un impact maximal et éviter les interférences, l’attaquant exécute une série de commandes pour : 1) Terminer toutes les applications utilisateur en cours d’exécution, 2) Arrêter les services critiques, 3) Créer un mécanisme de persistance via une tâche planifiée, et 4) Modifier les autorisations sur un répertoire cible pour s’assurer que le processus de chiffrement dispose d’un contrôle total. Cette simulation utilise les chaînes exactes spécifiées dans la règle de détection pour vérifier que la règle se déclenche.

• Script de test de régression :

  # Script de simulation pour déclencher la règle de détection des Gentlemen Ransomware
  Write-Host "[+] Démarrage de la simulation de ransomware..." -ForegroundColor Cyan
  
  # 1. Déclenchement de selection1 & selection2 (Terminaison de processus)
  Write-Host "[+] Déclenchement de détection de Taskkill..." -ForegroundColor Yellow
  Start-Process "taskkill.exe" -ArgumentList "/F /IM explorer.exe" -Wait
  
  # 2. Déclenchement de selection3 (Arrêt de service)
  Write-Host "[+] Déclenchement de détection de Net Stop..." -ForegroundColor Yellow
  Start-Process "net.exe" -ArgumentList "stop Spooler" -Wait
  
  # 3. Déclenchement de selection4 (Persistance)
  Write-Host "[+] Déclenchement de détection de Schtasks..." -ForegroundColor Yellow
  Start-Process "schtasks.exe" -ArgumentList "/Create /TN UpdateSystem /TR 'calc.exe' /SC ONCE /ST 00:00" -Wait
  
  # 4. Déclenchement de selection5 (Changements de permissions)
  Write-Host "[+] Déclenchement de détection Icacls..." -ForegroundColor Yellow
  New-Item -Path "$env:TEMPRansomSim" -ItemType Directory -Force | Out-Null
  Start-Process "icacls.exe" -ArgumentList "$env:TEMPRansomSim /grant:r everyone:F" -Wait
  
  Write-Host "[+] Simulation terminée." -ForegroundColor Green

• Commandes de nettoyage :

  # Script de nettoyage pour supprimer les artefacts créés pendant la simulation
  Write-Host "[+] Nettoyage des artefacts de simulation..." -ForegroundColor Cyan
  schtasks /Delete /TN UpdateSystem /F
  Remove-Item -Path "$env:TEMPRansomSim" -Recurse -Force
  Write-Host "[+] Nettoyage terminé." -ForegroundColor Green