The Gentlemen 勒索组织威胁情报跟踪

2019-2020  hastalamuerte 在 Nulled、Raidforums 等论坛活跃（初级水平）
    ↓
2025.03    以 Phantom Mantis 名称作为 Qilin RaaS 附属开始活动
    ↓
2025.05-06 ArmCorp 附属团队在 Qilin 生态内运行（30天攻击20+目标）
    ↓
2025.07.17 首个 Gentlemen 样本上传 VirusTotal（SHA-256: 51b9f246...）
           ↑ 早于公开争端5天，证明分裂系预谋
    ↓
2025.07.22 hastalamuerte 在 RAMP 论坛公开与 Qilin 的 $48,000 佣金纠纷
    ↓
2025.07    正式独立为 The Gentlemen 品牌
    ↓
2025.09.09 数据泄露站（DLS）上线
           首个公开受害者：秘鲁 JN Aceros 钢铁公司
    ↓
2025.09.12 以 zeta88 身份在地下论坛公开招募附属成员
    ↓
2025.11    内部通讯从 Mattermost 迁移至自建 Tor Rocket.Chat
    ↓
2026.03    Hunt.io 发现 Proton66 开放目录暴露126个攻击工具包
    ↓
2026.04    Bedrock Safeguard 发布首个免费解密器
           组织同日发布补丁绕过解密器
    ↓
2026.05.04 管理员公开承认 Rocket 数据库被泄露
    ↓
2026.05.08 泄露数据在 PwnForums、CryptBB 免费公开
    ↓
2026.05    与 BreachForums 建立官方合作招募附属
    ↓
2026.06.10 Krebs 公开运营者真实身份（Alexander Yapaev）
    ↓
2026.06.13 受害者达 483个，覆盖 66个国家
    ↓
2026.06.15 breachcache 披露新附属利用 AD CS ESC1 + GPO 部署案例

┌─────────────────────────────────────────────────────────────┐
│  Intel 471 追踪 hastalamuerte 论坛注册（2019年起）         │
│  → IP 均指向伊热夫斯克                                     │
└────────────────────────┬────────────────────────────────────┘
                         ↓
┌─────────────────────────────────────────────────────────────┐
│  ProtonMail: hastalamuerte1488@protonmail.com              │
│  → Epieos 反查关联 Apple 账号 + GitHub: SantaMuerte        │
└────────────────────────┬────────────────────────────────────┘
                         ↓
┌─────────────────────────────────────────────────────────────┐
│  Telegram ID: 30907522 (@hastalamuerte18)                  │
│  → Constella 反查关联用户名 "bu4vs"                        │
│  → 俄罗斯手机号: 79127650004                               │
└────────────────────────┬────────────────────────────────────┘
                         ↓
┌─────────────────────────────────────────────────────────────┐
│  手机号 79127650004                                        │
│  → 泄露俄罗斯政府数据库登记为 Yapaev 名下                  │
│  → Pikabu 社交账号 "4apai18"                               │
└────────────────────────┬────────────────────────────────────┘
                         ↓
┌─────────────────────────────────────────────────────────────┐
│  Codeby 论坛账号 SantaMuerte                               │
│  → 原始注册名: Alexandr 4apaev                             │
│  → 4apai = 俄语"恰帕耶夫"谐音                              │
└────────────────────────┬────────────────────────────────────┘
                         ↓
┌─────────────────────────────────────────────────────────────┐
│  LinkedIn 职业档案                                         │
│  → Yapaev, Uralenergo Udmurtia B2B 营销主管                │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  1. 生成 32 字节随机数 → 临时私钥 (crypto/rand.Read)       │
│  2. 计算临时公钥 = X25519_Base(临时私钥)                   │
│  3. 计算共享密钥 = X25519(临时私钥, 运营者公钥)            │
│  4. 派生加密密钥 = HKDF(shared_secret)                     │
│  5. 生成 24 字节随机 IV                                    │
│  6. XChaCha20-Poly1305 加密文件内容                        │
│  7. 文件尾部追加:                                          │
│     - IV (24 bytes)                                        │
│     - 临时公钥 (32 bytes, Base64 编码)                     │
│     - GENTLEMEN 标记                                       │
│  8. 重命名文件: 添加 6 位随机扩展名 (如 .umc16h)           │
│  9. 删除原始文件                                           │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  弱点描述                                                   │
│  ─────────                                                │
│  • 临时私钥在进程内存中持久存在                             │
│  • 从 Go crypto 模块初始化到进程终止全程驻留                │
│  • Go GC 在堆代之间复制数据，产生多个密钥副本               │
│  • 密钥不会在使用后立即清零                                 │
└────────────────────────┬────────────────────────────────────┘
                         ↓
┌─────────────────────────────────────────────────────────────┐
│  利用方式                                                   │
│  ─────────                                                │
│  • 从运行中的勒索进程抓取内存镜像                           │
│  • 扫描内存提取 X25519 私钥                                 │
│  • 使用私钥 + 文件中的公钥重建共享密钥                      │
│  • 解密文件                                                 │
└────────────────────────┬────────────────────────────────────┘
                         ↓
┌─────────────────────────────────────────────────────────────┐
│  实际效果                                                   │
│  ─────────                                                │
│  • Bedrock Safeguard 解密器: 35/35 文件解密，100% 成功率    │
│  • 35 个密钥在 0.6 秒内恢复                                 │
│  • 前提: 加密进程仍在运行                                   │
└─────────────────────────────────────────────────────────────┘

远程主机自动执行:
├── 关闭 Windows Defender
├── 修改防火墙规则（允许 SMB、RDP）
├── 启用 SMB1（过时协议，存在漏洞）
├── 放宽 LSA 限制（便于凭证窃取）
└── 清除事件日志（Security、System、Application）

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 A（最可能）: FortiGate 漏洞利用                   │
│  ─────────────────────────                                  │
│  1. 扫描公网暴露 FortiGate（3489端口等）                    │
│  2. 利用 CVE-2024-55591 认证绕过                            │
│  3. 获取 super-admin 权限                                   │
│  4. 下载 FortiGate 配置文件（含凭证、拓扑）                 │
│  5. 创建持久化 VPN 用户账户                                 │
│  6. 自动化脚本: 防删除恢复 super admin                      │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 B: 凭证暴力破解                                   │
│  ─────────────────────                                      │
│  1. 使用 969 个已验证 VPN 凭证尝试登录                      │
│  2. 或使用内置弱口令字典暴力破解                            │
│  3. 获取 VPN 访问权限                                       │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 C: 钓鱼/供应链                                    │
│  ───────────────────────                                    │
│  1. 鱼叉式钓鱼邮件                                          │
│  2. 第三方供应商入侵                                        │
│  3. 信息窃取器日志获取凭证                                  │
└─────────────────────────────────────────────────────────────┘

内网侦察
├── AD 枚举（域控、用户、组）
├── 网络拓扑发现
├── 备份系统定位（Veeam、Commvault）
├── NAS/存储阵列发现
├── 虚拟化基础设施识别（VMware、Hyper-V）
└── 关键服务器定位（Exchange、SQL、文件服务器）

权限提升
├── Mimikatz 凭证窃取
├── NTLM Relay 攻击
├── AD CS ESC1 滥用（如存在错误配置）
├── PKINIT / UnPAC-the-hash
├── DCSync（如已获取域管权限）
└── Kerberoasting

防御规避
├── KillAV / All.exe / Allpatch2.exe 禁用安全软件
├── GPO 修改批量关闭 Defender
├── 添加 AV 排除项
├── 清除事件日志（Security、System、Application）
├── 删除 Prefetch、RDP 日志、PowerShell 历史
└── 终止 EDR、备份、虚拟化进程

数据窃取
├── rclone 外传至云存储
├── WinSCP 传输至攻击者服务器
├── 数百 GB 至 TB 级数据
└── 优先: 人事数据、财务数据、客户数据、IP

加密部署方式
├── GPO 推送（域控 → 全网域加入系统）
├── --spread 蠕虫模式（SMB、PsExec、WMI、PowerShell Remoting）
├── 计划任务（UpdateSystem、UpdateUser）
└── 服务创建（GupdateS、GupdateU）

加密执行
├── 关闭 Defender、修改防火墙
├── 启用 SMB1、放宽 LSA
├── 终止目标进程（数据库、备份、虚拟化、EDR、Office）
├── 删除影子副本（vssadmin delete shadows /all /quiet）
├── 加密文件（XChaCha20 + X25519）
├── 重命名文件（添加 6 位随机扩展名）
├── 投放勒索信（README-GENTLEMEN.txt）
└── 可选: --wipe 参数覆写磁盘空闲空间

制造业          ████████████████████████████████████████ 35%
科技/软件       ██████████████████████████████           28%
医疗健康        ██████████████████████████               22%
金融服务/保险   █████████████████████████                20%
建筑/房地产     ██████████████████████                   18%
能源/关键基础设施 ████████████████████                   15%
教育            ████████████████                         12%
政府            ██████████████                           10%
零售            ████████████                             8%
交通物流        ██████████                               7%
农业            ████████                                 6%
酒店/餐饮       ██████                                   5%
法律服务        ████                                     3%
电信            ████                                     3%
媒体/互联网     ██                                       2%
其他            ████                                     3%

高概率受害特征:
├── 使用 Fortinet FortiGate/FortiProxy（未修补 CVE-2024-55591）
├── 公网暴露 VPN/远程桌面端口
├── 弱口令或默认凭证
├── 无 MFA 或 MFA 配置不当
├── 依赖 Active Directory 且未加固
├── 备份策略不完善（无离线/不可变备份）
├── 无 EDR 或 EDR 配置不当
├── 制造业、医疗、金融等高中断成本行业
└── 欧洲、亚太、拉美地区

2026.05.02  托管商 4VPS.SU 披露自身被入侵
            ├─ 代理服务器替换攻击
            ├─ 钓鱼页面植入
            └─ GRUB 引导加载器破坏

2026.05.04  zeta88 在地下论坛公开承认 Rocket 数据库被泄露

2026.05.05  用户 "n345"/"n7778" 在 Breached 论坛出售数据
            └─ 要价: $10,000 BTC

2026.05.08  同一用户在 PwnForums、CryptBB 免费公开泄露数据

泄露后组织状态:
├── 仍在活跃攻击（每24小时 ~15个新受害者）
├── 预期品牌重塑/基础设施迁移
├── 泄露数据已在暗网+公开渠道流通
├── 其他组织二次利用风险极高
└── 核心架构完全暴露，但运营能力未受根本性打击

基础设施策略:
├── Tor 隐藏服务（.onion）
├── 俄罗斯 bulletproof hosting（Proton66、4VPS）
├── 临时性基础设施（频繁迁移）
├── 开放目录暴露（OPSEC 失误）
├── 自建 Rocket.Chat（替代 Mattermost）
└── 多沟通渠道（Tox、SimpleX、Ricochet Refresh）

title: The Gentlemen Ransomware - Process Termination
id: a1b2c3d4-e5f6-7890-abcd-ef1234567890
status: experimental
description: 检测 The Gentlemen 勒索软件批量终止进程的行为
author: Threat Intelligence Team
date: 2026/06/18
references:
    - https://github.com/Bedrock-Safeguard/gentlemen-decryptor
logsource:
    category: process_termination
    product: windows
detection:
    selection:
        EventID: 4689
        TargetProcessName|contains:
            - 'veeam'
            - 'sql'
            - 'exchange'
            - 'vmware'
            - 'hyper-v'
            - 'defender'
            - 'msmpeng'
    condition: selection
level: high

title: The Gentlemen Ransomware - Shadow Copy Deletion
id: b2c3d4e5-f6a7-8901-bcde-f12345678901
status: experimental
description: 检测影子副本删除行为
author: Threat Intelligence Team
date: 2026/06/18
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        CommandLine|contains|all:
            - 'vssadmin'
            - 'delete'
            - 'shadows'
    condition: selection
level: critical

title: The Gentlemen Ransomware - Log Clearing
id: c3d4e5f6-a7b8-9012-cdef-123456789012
status: experimental
description: 检测事件日志清除行为
author: Threat Intelligence Team
date: 2026/06/18
logsource:
    product: windows
    service: security
detection:
    selection:
        EventID: 1102
        LogName: Security
    condition: selection
level: high

rule The_Gentlemen_Ransomware {
    meta:
        description = "Detects The Gentlemen ransomware samples"
        author = "Threat Intelligence Team"
        date = "2026-06-18"
        hash = "51b9f246d6da85631131fcd1fabf0a67937d4bdde33625a44f7ee6a3a7baebd2"
    
    strings:
        $marker = "--marker--GENTLEMEN"
        $ransom_note = "README-GENTLEMEN.txt"
        $task1 = "UpdateSystem"
        $task2 = "UpdateUser"
        $reg1 = "GupdateS"
        $reg2 = "GupdateU"
        $spread = "--spread"
        $wipe = "--wipe"
    
    condition:
        any of them
}

let ioc_sha_hashes = dynamic([
    "22b38dad7da097ea03aa28d0614164cd25fafeb1383dbc15047e34c8050f6f67",
    "51b9f246d6da85631131fcd1fabf0a67937d4bdde33625a44f7ee6a3a7baebd2"
]);
DeviceFileEvents
| where SrcFileSHA256 in (ioc_sha_hashes) or TargetFileSHA256 in (ioc_sha_hashes)
| extend AccountName = tostring(split(User, @'')[1])
| extend AccountNTDomain = tostring(split(User, @'')[0])
| extend AlgorithmType = "SHA256"

DeviceProcessEvents
| where ProcessCommandLine contains "vssadmin"
    and ProcessCommandLine contains "delete"
    and ProcessCommandLine contains "shadows"

DeviceEvents
| where ActionType == "SecurityLogCleared"

# 1. 立即检查 FortiOS 版本
get system status

# 2. 如版本在受影响范围，立即修补
# FortiOS 7.0.0 - 7.0.16 → 升级至 7.0.17+
# FortiOS 7.2.0 - 7.2.12 → 升级至 7.2.13+
# FortiProxy 7.0.0 - 7.0.19 → 升级至 7.0.20+
# FortiProxy 7.2.0 - 7.2.12 → 升级至 7.2.13+

# 3. 审计已创建账户
show user

# 4. 检查自动化脚本
show system automation

# 5. 导出配置备份
execute backup config tftp <config_file> <tftp_server>

# 6. 全量轮换 VPN 凭证
config user local
    edit <user_name>
        set passwd <new_password>
    next
end

# 1. 如加密进程仍在运行，立即抓取内存镜像
procdump.exe -ma -accepteula <ransomware_pid> ransomware_dump.dmp

# 2. 隔离受感染主机
netsh advfirewall firewall set rule group="remote desktop" new enable=no
netsh advfirewall firewall set rule group="file and printer sharing" new enable=no

# 3. 禁用 SMB1（防止横向移动）
Set-SmbServerConfiguration -EnableSMB1Protocol $false

# 4. 检查计划任务
schtasks /query /fo LIST | findstr "UpdateSystem UpdateUser"

# 5. 检查注册表启动项
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
reg query "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"

# 6. 检查影子副本
vssadmin list shadows

# 7. 收集取证数据

# 1. 安装依赖
pip install cryptography

# 2. 从加密文件中提取临时公钥
python extract_keys_from_files.py --input-dir /path/to/encrypted/files --output keys.json

# 3. 在内存转储中搜索匹配的私钥
python recover_keys.py --dump process_memory.dmp --pubkeys keys.json --output recovered_keys.json

# 4. 解密文件
python decrypt.py --keys recovered_keys.json --input-dir /path/to/encrypted/files --output-dir /path/to/recovered

1. 获取进程内存转储（进程存活期间任意时刻）
2. 以 8 字节对齐偏移扫描 32 字节值
3. 对每个候选值计算 public = X25519(candidate, basepoint)
4. 与加密文件尾部提取的临时公钥比对
5. 匹配成功 = 该文件私钥恢复
6. 派生解密密钥: shared_secret = X25519(ephemeral_private, operator_public)
7. 使用 XChaCha20 + shared_secret 解密文件