ARTICLE / 安全
The Gentlemen
报告编号: TIR-2026-0618-001 | 分类等级: TLP:AMBER | 发布日期: 2026年6月18日 | 情报来源: 多源交叉验证（OSINT + 泄露数据 + 厂商报告）
一、执行摘要
The Gentlemen（又名 Gentlemen、TheGentlemen、hastalamuerte）是一个快速崛起的勒索软件即服务（RaaS）组织，由微软追踪为 Storm-2697，PRODAFT 追踪为 LARVA-368。该组织于2025年中 emergence，2025年9月正式以 RaaS 模式运营，截至2026年6月已攻击 483+ 受害者，覆盖 66+ 个国家，成为全球第二活跃的勒索组织（仅次于 Qilin）。
关键发现
| 维度 | 关键指标 |
|---|---|
| 组织规模 | 核心团队 ~20人，9名已识别运营者，8+ 附属攻击团队 |
| 攻击速度 | 从初始入侵到全网加密仅需 2-6周驻留 + 数小时加密 |
| 加密强度 | XChaCha20 + X25519 ECDH，每文件临时密钥，存在内存密钥恢复弱点 |
| 首要入口 | CVE-2024-55591（FortiOS 认证绕过，CVSS 9.8） |
| 商业模式 | 90/10 分成（附属90%，运营者10%），远超行业80/20标准 |
| 赎金区间 | 初始要价 $250K，实际成交 $190K（单笔确认） |
| 二次勒索率 | 68%（付费后再次攻击） |
| AI 使用 | 管理员大量使用 AI 辅助开发勒索软件及后渗透工具 |
| 解密可能性 | 存在（Bedrock Safeguard 解密器，前提：进程仍在运行） |
威胁等级评估
| 评估维度 | 等级 | 说明 |
|---|---|---|
| 技术能力 | 🔴 高 | 多平台加密、蠕虫式自传播、GPO 批量部署、BYOVD |
| 运营成熟度 | 🔴 高 | 完整 RaaS 平台、专业谈判团队、快速补丁响应 |
| 攻击规模 | 🔴 高 | 483+ 受害者，66+ 国家，10% 全球勒索市场份额 |
| 目标针对性 | 🟡 中 | 广谱攻击为主，但持有14,700台已入侵 FortiGate 清单 |
| 数据泄露风险 | 🔴 极高 | 双勒索模式 + 泄露数据已被其他组织二次利用 |
二、威胁行为者画像
2.1 组织标识
| 属性 | 值 |
|---|---|
| 官方名称 | The Gentlemen |
| 别名 | Gentlemen、TheGentlemen、hastalamuerte、Storm-2697（微软）、LARVA-368（PRODAFT）、Phantom Mantis（前身） |
| 组织类型 | 勒索软件即服务（RaaS） |
| 活跃周期 | 2025年3月（前身 Phantom Mantis）→ 2025年7月独立 → 至今 |
| 主要语言 | 俄语（内部沟通）、英语（受害者沟通） |
| 地理归属 | 俄罗斯联邦（高置信度） |
| 攻击目标 | 全球企业（明确排除 CIS 国家） |
| 动机 | 经济利益 |
2.2 组织演化时间线
2.3 核心运营者（已识别9人）
| 代号 | 角色 | 活动证据 |
|---|---|---|
| zeta88 (hastalamuerte) | 总管理员 | 构建 locker + RaaS 面板，管理支付，亲自参与攻击 |
| Kunder | 运营协调 | 内部聊天确认支付分发 |
| qbit | VPN 扫描专家 | FortiGate 枚举与入侵 |
| JeLLy | 运营成员 | Rocket 数据库记录 |
| Protagor | 运营成员 | Rocket 数据库记录 |
| Bl0ck | 运营成员 | Rocket 数据库记录 |
| Wick | 运营成员 | Rocket 数据库记录 |
| quant | 凭证收集 | 暴力破解基础设施运维（高性能专用硬件） |
| mAst3r | 运营成员 | Rocket 数据库记录 |
其他已识别用户名（Rocket shadow file）： 3NT3R、B1d3n、C0CA、d0wnloAd1、equal1z3r、F3N1X、Gblog88、JLL、LDW、n0n3、PRTGRS、W1Z
2.4 附属成员体系
| 指标 | 数据 |
|---|---|
| 已识别附属 TOX ID | 8个（Check Point 从29次攻击中提取） |
| 最高产附属 | TOX ID 以 98C132 开头，关联 12/29 次攻击 |
| 管理员直接参与 | TOX ID 出现在4次攻击中 |
| 准入门槛 | 需提交至少 1GB 窃取数据 |
| 沟通渠道 | Tox、SimpleX Chat、Ricochet Refresh |
管理员 TOX ID：
F8E24C7F5B12CD69C44C73F438F65E9BF560ADF35EBBDF92CF9A9B84079F8F04060FF98D098E
三、归因分析
3.1 真实身份归因
2026年6月10日，知名网络安全记者 Brian Krebs 通过多源 OSINT 交叉验证，将组织管理员 hastalamuerte/zeta88 关联至真实身份：
| 字段 | 信息 | 置信度 |
|---|---|---|
| 真实姓名 | Alexander Andreevich Yapaev（Япаев Александр Андреевич） | 高 |
| 年龄 | 36岁 | 高 |
| 所在地 | 俄罗斯联邦乌德穆尔特共和国 伊热夫斯克市（Izhevsk） | 高 |
| 公开职业 | Uralenergo Udmurtia B2B营销主管 | 高 |
| PRODAFT 追踪代号 | LARVA-368 | 高 |
| 微软追踪代号 | Storm-2697 | 确认 |
3.2 归因证据链
3.3 归因争议与置信度
| 证据维度 | 指向 | 置信度 |
|---|---|---|
| 论坛账号与支付身份交叉 | 管理员真实身份 | 高（Krebs 多源验证） |
| Tox/邮箱元数据 | 伊热夫斯克地理点 | 高 |
| 运营时区与俄语沟通 | 俄罗斯本土运营 | 中-高 |
| CIS 豁免策略 | 地理规避惯例 | 中 |
该归因的罕见之处在于点名到个人：公开职业与住址使其成为少数"实名化"的 RaaS 管理员案例，后续执法动向值得跟踪。
四、防御建议
4.1 检测要点
- 入口：公开 RDP 暴力破解与合法账户滥用（该组织较少依赖钓鱼）
- 驻留期：2-6 周内大量服务枚举、计划任务与横向工具的噪声特征
- 加密前奏：备份目录访问与卷影删除的组合告警
4.2 缓解与响应
- 收敛 RDP/远程服务暴露，启用账户锁定与地理围栏
- 对"高速度"组织预设恢复演练剧本：驻留窗口意味着检测滞后即全盘失守
五、总结
The Gentlemen 在两年内从无名附属长成全球第二活跃品牌（2026.06 达 483+ 受害者、66+ 国家），靠的是极简剧本的工业化执行：公开暴露面入口 + 长时间驻留 + 数小时全网加密。而 Brian Krebs 的实名归因则给整个生态提了个醒——论坛身份、支付账号与基础设施的复用足以击穿匿名性。防御侧的两条主线：把 RDP 暴露治理常态化，以及把驻留期的低慢小行为纳入告警，而不是等加密那一刻才看见对手。
（数据来源：公开威胁情报多源交叉整理，含 CISA/FBI 联合公告、MITRE ATT&CK 及 Microsoft、Trend Micro、Symantec、CrowdStrike、Mandiant 等厂商公开研究）
本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。