Утечка внутренней инфраструктуры The Gentlemen в мае 2026 года вскрыла переписку с партнёрами, ход переговоров о выкупе и материалы разработки инструментов. Группа работает с середины 2025 года по модели программы-вымогателя как услуги (RaaS). Партнёрам она отдаёт до 90 процентов дохода. Число заявленных жертв превысило 800 организаций. Чаще всего пострадавшие находятся в США и Европе. Шифровальщик написан на Go и поддерживает Windows, Linux, сетевые хранилища и BSD. Помимо шифрования, образец выносит данные и угрожает публикацией. Ранее группа выступала аффилиатом LockBit и Qilin, теперь работает под собственным брендом. Утечка усилила доказательства связи её руководства с экосистемой Qilin.
Описание
На конечных точках искать стоит 64-битный исполняемый файл, собранный на Go; его выдают крупный размер и артефакты среды исполнения языка. После отработки программа подменяет обои рабочего стола изображением с именем группы, а в каждом каталоге с зашифрованными файлами оставляет текстовую записку о выкупе. Сами файлы получают расширение, которое меняется от сборки к сборке. Закрепление дают задачи планировщика системного и пользовательского уровня, а также записи автозапуска в реестре отдельно для профиля и для всей машины. Второй пласт артефактов связан с отключением средств обнаружения и реагирования на конечных точках (EDR): оба образца загрузчика разобраны по данным Acronis TRU, каждый сбрасывает уязвимый драйвер, ставит его службой и завершает процессы по зашитому списку.
Подтверждённые индикаторы видны в журналах и телеметрии. В первую очередь это командлеты PowerShell, отключающие мониторинг в реальном времени в Defender и добавляющие в исключения целый диск вместе с именем процесса. Затем в журналах фиксируется очистка системного, прикладного журналов и журнала безопасности. Туда же попадают удаление теневых копий, вызов taskkill и net stop по длинному перечню баз данных, средств резервного копирования, виртуальных платформ, почтовых клиентов и средств удалённого доступа. Остановке службы предшествует отключение её автоматического запуска, поэтому в журнале служб видна пара событий, а не одиночное. Отдельно проверяют историю команд PowerShell по профилям пользователей: программа удаляет файл, куда эта история пишется. Предполагаемые индикаторы зависят от аргументов запуска. Распространение через PsExec и правку доменных групповых политик включает только отдельный флаг, поэтому его отсутствие не говорит о безопасном хосте. Так же проверки требуют включение правил группы сетевого обнаружения и отключение брандмауэра Defender для всех профилей: эти команды выполняются всегда.
При обнаружении узел изолируют от сети, но не выключают. Сначала снимают дамп памяти и копию подозрительных драйверов, затем сверяют журнал загрузки драйверов с известными уязвимыми версиями. Дальше проверяют задачи планировщика, ветки автозапуска и перечень остановленных служб. Учётные данные пользователей и служб, работавших на хосте, меняют, поскольку вынос данных входит в штатный сценарий. На контроллерах домена смотрят свежие правки групповых политик и следы удалённого запуска программ. Резервные копии проверяют на целостность до восстановления, иначе шифрование вернётся вместе с данными. Образцы драйверов и загрузчика передают в лабораторию: по ним уточняют версии уязвимостей, включая проблему в драйвере монитора процессов Safetica, учтённую как CVE-2025-70795.
Ограничения у этих индикаторов существенные. Шифруются не все файлы: при больших размерах доля обработки падает до нескольких процентов, поэтому часть данных остаётся читаемой и маскирует факт поражения. Полное затирание свободного места и удаление журналов лишают картины причин. Имена драйверов и служб в каждой сборке меняются, а подписи соответствуют легитимным производителям, поэтому проверка по имени даёт ложные срабатывания. Отсутствие записки или обоев не означает, что запуск не состоялся. Сами индикаторы не показывают объём вынесенных данных и путь, которым они ушли. Для полной картины нужны телеметрия EDR за период до инцидента, журналы контроллера домена, логи средств резервного копирования и записи прокси на обращения к мессенджерам, которые группа использует для связи.
Индикаторы компрометации
