Gentlemen Ransomware: Внутрішній погляд на операцію Ransomware-as-a-Service

Резюме

The Gentlemen — російськомовна група Ransomware-as-a-Service (RaaS), що з’явилася в середині 2025 року після того, як раніше працювала як афіліат LockBit і Qilin. Група дотримується моделі подвійної вимоги, шифруючи дані жертви, погрожуючи опублікувати вкрадену інформацію на спеціальному сайті для зливів. Її операції націлені на середовища Windows, Linux, NAS і BSD, використовуючи програмне забезпечення-вимагач, написане на Go.

Розслідування

Дослідники Acronis проаналізували порушення в інфраструктурі The Gentlemen, яке розкрило внутрішні комунікації, інформацію про афіліатів і обговорення щодо розробки інструментів. Технічний аналіз виявив спеціальні дропери для знищення EDR, які використовують вразливі драйвери для припинення процесів безпеки. Дослідники також відстежили шифрувальні процедури групи, методи збереження та активність бокового переміщення, що залучає PsExec.

Зменшення ризиків

Організації повинні розгорнути рішення EDR/XDR, здатні виявляти втручання в інструменти безпеки та несанкціоноване завантаження драйверів. Підтримка операційних систем та драйверів третіх сторін у повністю оновленому стані важлива для зменшення зловживань вразливими драйверами ядра. Обмеження використання PowerShell та забезпечення ізольованих, регулярно протестованих резервних копій також настійно рекомендуються.

Реакція

Коли виявлена активність The Gentlemen, реакційна команда повинна негайно ізолювати уражені системи, щоб запобігти боковому переміщенню через PsExec або автоматичному поширенню. Розслідуйте несанкціоновані планувальні завдання та ключі реєстру Run, такі як GupdateS and GupdateU щоб перервати стійкість. Перегляньте журнали подій Windows та історію PowerShell для виявлення доказів видалення артефактів та обходу судово-медичної експертизи.

Виконання симуляції

• Сюжет атаки та команди: Супротивник отримав початковий доступ і готує середовище для розгортання програм-вимагачів групи “The Gentlemen”. Для забезпечення максимального впливу та запобігання втручанню нападник виконує серію команд: 1) Завершити будь-які активні користувацькі додатки, 2) Зупинити критичні служби, 3) Створити механізм стійкості через заплановане завдання, 4) Змінити дозволи на цільовому каталозі, щоб процес шифрування отримав повний контроль. Ця симуляція використовує точні рядки, вказані в правилі виявлення, щоб перевірити його спрацьовування.

• Скрипт регресійного тесту:

  # Скрипт симуляції для спрацьовування правила виявлення програм-вимагачів Gentlemen
  Write-Host "[+] Початок симуляції програм-вимагачів..." -ForegroundColor Cyan
  
  # 1. Спрацьовування після відбору1 & відбору2 (Завершення процесу)
  Write-Host "[+] Активізування виявлення Taskkill..." -ForegroundColor Yellow
  Start-Process "taskkill.exe" -ArgumentList "/F /IM explorer.exe" -Wait
  
  # 2. Спрацьовування після відбору3 (Зупинка служби)
  Write-Host "[+] Активізування виявлення Net Stop..." -ForegroundColor Yellow
  Start-Process "net.exe" -ArgumentList "stop Spooler" -Wait
  
  # 3. Спрацьовування після відбору4 (Стійкість)
  Write-Host "[+] Активізування виявлення Schtasks..." -ForegroundColor Yellow
  Start-Process "schtasks.exe" -ArgumentList "/Create /TN UpdateSystem /TR 'calc.exe' /SC ONCE /ST 00:00" -Wait
  
  # 4. Спрацьовування після відбору5 (Зміни прав доступу)
  Write-Host "[+] Активізування виявлення Icacls..." -ForegroundColor Yellow
  New-Item -Path "$env:TEMPRansomSim" -ItemType Directory -Force | Out-Null
  Start-Process "icacls.exe" -ArgumentList "$env:TEMPRansomSim /grant:r everyone:F" -Wait
  
  Write-Host "[+] Симуляцію завершено." -ForegroundColor Green

• Команди очищення:

  # Скрипт очищення для видалення артефактів, створених під час симуляції
  Write-Host "[+] Очищення артефактів симуляції..." -ForegroundColor Cyan
  schtasks /Delete /TN UpdateSystem /F
  Remove-Item -Path "$env:TEMPRansomSim" -Recurse -Force
  Write-Host "[+] Очищення завершено." -ForegroundColor Green