Gentlemen Ransomware: Wewnątrz Operacji Ransomware-as-a-Service

Podsumowanie

The Gentlemen to rosyjskojęzyczna grupa Ransomware-as-a-Service (RaaS), która pojawiła się w połowie 2025 roku, wcześniej działając jako afiliant LockBit i Qilin. Grupa działa w modelu podwójnego wymuszenia, szyfrując dane ofiar, jednocześnie grożąc publikacją skradzionych informacji na dedykowanej stronie z wyciekami. Jej operacje celują w środowiska Windows, Linux, NAS i BSD, używając ransomware opartego na Go.

Śledztwo

Badacze z Acronis przeanalizowali naruszenie infrastruktury The Gentlemen, które ujawniło wewnętrzne komunikacje, informacje o afiliantach i dyskusje związane z rozwojem narzędzi. Analiza techniczna odkryła niestandardowe droppery usuwające EDR, które wykorzystują podatne sterowniki do zakończenia procesów bezpieczeństwa. Badacze zmapowali także rutyny szyfrowania grupy, metody utrwalania oraz aktywność poruszania się bocznego z użyciem PsExec.

Łagodzenie

Organizacje powinny wdrożyć rozwiązania EDR/XDR zdolne do identyfikowania manipulacji narzędziami bezpieczeństwa i nieautoryzowanego ładowania sterowników. Utrzymywanie systemów operacyjnych i sterowników firm trzecich w pełni aktualnych jest kluczowe dla ograniczenia nadużyć podatnych sterowników jądra. Ograniczenie użycia PowerShell oraz utrzymywanie odizolowanych, regularnie testowanych kopii zapasowych jest także mocno rekomendowane.

Odpowiedź

Gdy wykryte zostaje działanie The Gentlemen, zespół ds. reagowania na incydenty powinien natychmiastowo izolować dotknięte systemy, aby zapobiec poruszaniu się bocznemu za pomocą PsExec lub automatycznemu rozpowszechnianiu. Zbadaj nieautoryzowane zaplanowane zadania i klucze uruchamiania rejestru takie jak GupdateS and GupdateU w celu zakłócenia utrwalania. Przejrzyj Dzienniki Zdarzeń Windows i historię PowerShell w poszukiwaniu dowodów usuwania artefaktów oraz unikania forensyki.

Symulacja Wykonania

• Narracja Ataku & Komendy: Przeciwnik uzyskał początkowy dostęp i przygotowuje środowisko do wdrożenia ransomware przez grupę „The Gentlemen”. Aby zapewnić maksymalny wpływ i zapobiec zakłóceniom, atakujący wykonuje serię poleceń do: 1) Zakończenia wszelkich działających aplikacji użytkownika, 2) Zatrzymania kluczowych usług, 3) Utworzenia mechanizmu utrwalania przez zaplanowane zadanie oraz 4) Modyfikacji uprawnień do docelowego katalogu, aby proces szyfrowania miał pełną kontrolę. Ta symulacja używa dokładnie określonych ciągów w regule wykrywania, aby zweryfikować wyzwalanie reguły.

• Skrypt Testu Regresji:

  # Skrypt symulacyjny do wyzwalania reguły wykrywania ransomware Gentlemen
  Write-Host "[+] Rozpoczynanie symulacji ransomware..." -ForegroundColor Cyan
  
  # 1. Wyzwalanie selection1 & selection2 (Zakończenie Procesu)
  Write-Host "[+] Wyzwalanie wykrywania Taskkill..." -ForegroundColor Yellow
  Start-Process "taskkill.exe" -ArgumentList "/F /IM explorer.exe" -Wait
  
  # 2. Wyzwalanie selection3 (Zatrzymanie Usługi)
  Write-Host "[+] Wyzwalanie wykrywania Net Stop..." -ForegroundColor Yellow
  Start-Process "net.exe" -ArgumentList "stop Spooler" -Wait
  
  # 3. Wyzwalanie selection4 (Utrwalanie)
  Write-Host "[+] Wyzwalanie wykrywania Schtasks..." -ForegroundColor Yellow
  Start-Process "schtasks.exe" -ArgumentList "/Create /TN UpdateSystem /TR 'calc.exe' /SC ONCE /ST 00:00" -Wait
  
  # 4. Wyzwalanie selection5 (Zmiany Uprawnień)
  Write-Host "[+] Wyzwalanie wykrywania Icacls..." -ForegroundColor Yellow
  New-Item -Path "$env:TEMPRansomSim" -ItemType Directory -Force | Out-Null
  Start-Process "icacls.exe" -ArgumentList "$env:TEMPRansomSim /grant:r everyone:F" -Wait
  
  Write-Host "[+] Symulacja zakończona." -ForegroundColor Green

• Polecenia Czyszczenia:

  # Skrypt czyszczenia do usunięcia artefaktów stworzonych w czasie symulacji
  Write-Host "[+] Czyszczenie artefaktów symulacji..." -ForegroundColor Cyan
  schtasks /Delete /TN UpdateSystem /F
  Remove-Item -Path "$env:TEMPRansomSim" -Recurse -Force
  Write-Host "[+] Czyszczenie zakończone." -ForegroundColor Green