В мире программ-вымогателей наблюдается стремительный рост нового игрока. Сервис The Gentlemen, работающий по модели Ransomware-as-a-Service (RaaS, "вымогательство как услуга"), всего за несколько месяцев 2026 года заявил о более чем 240 атаках, а общее число его публичных жертв превысило 320. Его популярность среди аффилированных лиц (партнёров-исполнителей) объясняется не только агрессивным маркетингом на теневых форумах, но и технической универсальностью. Платформа предлагает набор шифровальщиков, написанных на Go для Windows, Linux, сетевых хранилищ (NAS) и BSD, а также отдельный модуль на C для виртуальных платформ VMware ESXi. Такой подход позволяет злоумышленникам атаковать гетерогенные корпоративные среды, где часто соседствуют разные операционные системы.
Описание
Эксперты Check Point Research, анализируя инцидент в рамках реагирования, обнаружили попытку аффилированного лица The Gentlemen развернуть на скомпрометированном хосте вредоносную программу SystemBC. Этот инструмент, часто используемый в ручных атаках с программами-вымогателями, действует как прокси, создавая скрытые туннели SOCKS5 внутри сети жертвы для доставки полезной нагрузки и команд. Телеметрия с соответствующего командного сервера SystemBC (C&C, Command and Control) показала, что он является частью ботнета, охватывающего более 1570 систем по всему миру, причём картина заражения явно указывает на целенаправленные атаки на организации, а не на массовое потребительское распространение. Наиболее пострадали США, Великобритания и Германия. Хотя точная интеграция SystemBC в экосистему The Gentlemen пока не ясна, её использование демонстрирует, что аффилированные лица активно применяют профессиональные инструменты для пост-эксплуатации.
Детальный анализ конкретной атаки, проведённый специалистами, раскрывает классический, но отточенный сценарий ручного вторжения. Начав с получения привилегий администратора домена, злоумышленники провели разведку, валидацию учётных данных и удалённое выполнение кода, используя такие инструменты, как Cobalt Strike. После блокировки попытки развернуть SystemBC на одной из машин атака адаптировалась: был активирован альтернативный канал управления через Cobalt Strike, а для удалённого достава настроен AnyDesk с предустановленным паролем. Ключевым этапом стало использование скомпрометированного контроллера домена для распространения шифровальщика через групповые политики (Group Policy Object, GPO), что привело к почти одновременному шифрованию данных на всех присоединённых к домену компьютерах.
Техническая сложность The Gentlemen выходит далеко за рамки простого шифровальщика. Программа обладает обширным набором аргументов командной строки, позволяющим операторам тонко настраивать атаку. Помимо выбора целевых дисков и сетевых папок, можно задать задержку перед стартом, режимы скорости шифрования (от полного до "ультрабыстрого", затрагивающего лишь 1% файла) и активировать мощные функции для распространения внутри сети. Аргумент "--spread" с указанием украденных учётных данных запускает агрессивное латеральное перемещение: после автоматического обнаружения всех компьютеров в домене вредоносное ПО копирует себя на целевые хосты, отключает на них защиту (включая Microsoft Defender и брандмауэр) и пытается выполниться через множество каналов - PsExec, WMI, удалённые задания планировщика и службы. Наиболее разрушительным является флаг "--gpo", предназначенный для выполнения непосредственно на контроллере домена. Он создаёт и немедленно применяет групповую политику, которая запускает шифровальщик на всех машинах в домене, превращая инфраструктуру самой организации в орудие её уничтожения.
Вредоносное ПО демонстрирует глубокое понимание системного администрирования и методов обороны. Оно активно противодействует защите: отключает мониторинг антивируса, добавляет свои процессы и целые диски в исключения, останавливает и отключает службы брандмауэра. Перед шифрованием программа принудительно завершает сотни процессов - от СУБД (Microsoft SQL, Oracle, MySQL) и систем резервного копирования (Veeam, Commvault, Acronis) до офисных приложений и средств удалённого доступа, стремясь снять блокировки с файлов. Для затруднения восстановления удаляются теневые копии (shadow copies) и очищаются ключевые системные журналы. При этом шифровальщик сознательно обходит критически важные для работы ОС каталоги и файлы, а также, что примечательно, специальную папку "! Cynet Ransom Protection", используемую одноимённым решением для размещения ловушек.
Отдельного внимания заслуживает версия для VMware ESXi, написанная на C. Её логика адаптирована под виртуальные среды: перед шифрованием она gracefully останавливает, а при необходимости принудительно завершает все виртуальные машины, чтобы разблокировать файлы дисков. Для обеспечения живучести на гипервизоре шифровальщик маскируется под системный демон, прописывается в автозагрузку через "rc.local.d" и "crontab". Кроме того, он выполняет тонкую настройку параметров VMFS для увеличения скорости записи и отключает функцию автоматического запуска ВМ, что усложняет восстановление после атаки.
Быстрая эволюция The Gentlemen из новичка в серьёзную угрозу иллюстрирует тренд на коммерциализацию и демократизацию сложных кибератак. Платформа предоставляет аффилированным лицам, даже обладающим средней квалификацией, готовый, многофункциональный и кроссплатформенный инструментарий для проведения масштабных корпоративных инцидентов. Наблюдаемое сочетание собственного шифровальщика с такими профессиональными инструментами, как Cobalt Strike и SystemBC, указывает на интеграцию в более широкую экосистему пост-эксплуатации. Для организаций это означает, что защита должна выстраиваться комплексно, с фокусом на раннем обнаружении признаков латерального перемещения, жёстком контроле привилегий домена и постоянном мониторинге аномальной активности, особенно связанной с изменением групповых политик и отключением систем безопасности.
Индикаторы компрометации
YARA
