За год программа-вымогатель The Gentlemen превратилась в одну из самых активных угроз в мире. К началу 2026 года группировка опубликовала данные более 320 пострадавших организаций. Среди них больницы и школы, транспортные компании и заводы, банки и страховые фирмы. География охватывает все регионы, где есть крупный бизнес и государственные учреждения. Атаки идут круглосуточно, поэтому жертвой может стать организация любого размера.
Описание
Появилась эта структура в середине 2025 года. Её ядро выросло из исполнителей, которые раньше работали на другую вымогательскую программу - Qilin. Такие объединения действуют по модели "вымогательство как услуга": разработчики создают вредоносный код и инфраструктуру, а партнёры ищут жертв и проводят атаки. Партнёрам обещают до 90 процентов от суммы выкупа, поэтому поток желающих не иссякает. Компания Microsoft отслеживает эту группу под обозначением Storm-2697. Уровень доверия к партнёру влияет на его долю: новичкам предлагают условия хуже.
Главный путь в чужую сеть - незакрытые уязвимости на устройствах, доступных из интернета. Чаще всего это межсетевые экраны Fortinet. Ошибка в проверке подлинности позволяет удалённо получить права суперпользователя на устройстве. По данным аналитиков, группировка ведёт базы почти из пятнадцати тысяч таких устройств по всему миру. Параллельно идёт подбор паролей к учётным записям удалённого доступа. Иногда злоумышленники перехватывают чужие сессии аутентификации либо пользуются похищенными данными сотрудников.
После входа в сеть они создают скрытые учётные записи с именами, похожими на служебные. Затем запускают сценарии на встроенном языке автоматизации Windows и задачи по расписанию. Права расширяют, добавляя себя в административные группы. Далее отключают защитные механизмы: постоянную проверку файлов, брандмауэр, ведение журналов. Удаляют теневые копии - системные слепки, которые помогают вернуть файлы без выплаты. Для обхода защитных средств применяют уязвимые, но легально подписанные драйверы.
Основное распространение идёт через групповые политики. Это механизм централизованной настройки, который раздаёт параметры сразу всем компьютерам домена. Изменив одну политику, злоумышленники запускают вредоносный код на сотнях машин одновременно. При этом программа умеет копировать себя по сети без участия оператора. Такой режим самораспространения сокращает время до полного шифрования до нескольких часов. Остановить процесс вручную почти невозможно.
Шифрование опирается на стойкий криптоалгоритм. Каждому файлу достаётся отдельный ключ, поэтому подобрать его перебором нельзя. Восстановить данные без ключа оператора практически невозможно. Чтобы ускорить процесс, программа шифрует крупные файлы частично - в начале, середине и конце. Перед этим она останавливает службы резервного копирования, базы данных и системы виртуализации. Слепки и архивы уничтожаются, поэтому вернуть информацию из них не выйдет.
Действуют злоумышленники по двум направлениям. Одновременно с шифрованием они выводят данные наружу и обещают опубликовать их, если выкуп не поступит. Такой подход называют двойным вымогательством. В одной из переписок, попавших в открытый доступ, операторы начали торг с суммы 250 тысяч долларов и согласились на 190 тысяч. Для среднего бизнеса это серьёзный удар, а для больницы или школы - часто неподъёмная сумма.
Ущерб не ограничивается простоем. Утечка медицинских или финансовых записей запускает обязательное раскрытие информации. Регуляторы в Европе и США требуют сообщать о таких инцидентах в сжатые сроки. За этим следуют штрафы и иски. Репутационные потери часто дороже самого выкупа.
Заметить вторжение можно на ранней стадии. Признаки - необычные задачи по расписанию, обращения к административным сетевым ресурсам из рядовых учётных записей, массовое отключение защитных служб. Инструменты удалённого управления вроде AnyDesk или MeshCentral, установленные без ведома службы поддержки, тоже повод для проверки. Чем быстрее изолируют заражённые узлы, тем меньше машин пострадает.
Отдельная проблема - утечка внутри самой группировки. В мае 2026 года её внутренние материалы оказались в открытом доступе. Объём - около 16 гигабайт. В них попали переписка, пароли, инструменты и упоминания посредников, которые продают доступ к чужим сетям. Разбирательство показало, что за псевдонимами стоят конкретные люди. Конфликт с прежним работодателем перерос в публичную ссору на закрытом форуме.
Для защиты нужно закрыть те пути, которыми пользуется группировка. В первую очередь обновить уязвимые межсетевые экраны, системы виртуализации и клиенты сетевого обмена файлами. Обязательна многофакторная аутентификация для удалённого доступа. Административные сетевые ресурсы стоит открывать только тем, кому они действительно нужны. Полезно следить за появлением задач по расписанию с необычными именами и за попытками очистить журналы событий.
Резервные копии должны храниться отдельно от основной сети. Их нужно регулярно проверять на возможность восстановления. Учения по сценарию полного шифрования домена помогают выявить слабые места в защите. Компаниям стоит заранее договориться с юристами и службой реагирования на инциденты. Тогда решение о выплате не придётся принимать в панике.
Тенденция очевидна: вымогательские группы переходят на готовые сервисы и делят прибыль с партнёрами. Порог входа снижается, а число атак растёт. Быстрое обновление систем и строгий контроль доступа остаются самыми надёжными мерами против таких кампаний.
Индикаторы компрометации
