Эксперты «Лаборатории Касперского» изучили недавние атаки группы Gentlemen и обнаружили в арсенале хакеров ранее неизвестный Go-бэкдор, а также новый шифровальщик для Windows, написанный на C. Судя по незавершенным функциям, злоумышленники пока тестируют Windows-малварь на ограниченном числе жертв.

Исследователи пишут, что хак-группа Gentlemen работает по модели RaaS (Ransomware-as-a-Service) и предположительно появилась в середине 2025 года, однако активность злоумышленников стала расти только в начале 2026 года. За первое полугодие группа вошла в десятку крупнейших операторов программ-вымогателей, судя по количеству жертв, перечисленных на сайте для «слива» данных.

Как правило, целями Gentlemen становятся крупные компании и объекты критической инфраструктуры по всему миру. Среди жертв группировки — производственные и строительные предприятия, ИТ-компании, финансовые и медицинские организации, а также логистические операторы. Больше всего атак было зафиксировано в Бразилии, Китае, Индонезии, Таиланде и на Тайване.

Для получения первоначального доступа хакеры атакуют уязвимые интернет-сервисы, VPN-шлюзы и межсетевые экраны, а также используют ворованные, слабые или дефолтные учетные данные. Исследователи допускают, что для этого группа сотрудничает с брокерами доступов, так как в некоторых инцидентах компрометация произошла задолго до запуска шифровальщика и с применением нетипичных для Gentlemen методов.

После проникновения в сеть жертвы хакеры тщательно изучают ее с помощью SharpADWS, NetScan, Advanced IP Scanner и штатной утилиты netsh. Последняя применяется для перехвата трафика, в котором могут содержаться незашифрованные данные и пароли. Для бокового перемещения группировка использует PsExec и групповые политики: шифровальщик копируется в каталог NETLOGON, после чего запускается сразу на множестве компьютеров домена.

За день до шифрования файлов атакующие разворачивают в системах жертв собственный Go-бэкдор. Он собирает такие данные, как имя хоста, домен, UUID и локальные IP-адреса, устанавливает постоянное соединение с управляющим сервером, выполняет команды операторов, а также поднимает SOCKS-прокси. Благодаря этому атакующие могут продолжить разведку и перемещаться по скомпрометированной сети.

По данным специалистов, основным шифровальщиком группировки по-прежнему остается кросс-платформенная малварь на Go, использующая Curve25519 и XChaCha20. Для защиты от автоматического анализа бинарник требует пароль, а перед шифрованием малварь может останавливать виртуальные машины Hyper-V (чтобы освободить файлы виртуальных дисков и затем зашифровать их), завершает процессы и службы, которые могут блокировать доступ к файлам, а затем удаляет теневые копии и журналы событий.

Кроме того, перед запуском шифровальщика злоумышленники пытаются отключить защитные решения с помощью техники BYOVD, используя заведомо уязвимые драйверы, в также изменяют реестр и задействуют команды PowerShell.

Новый Windows-вариант малвари, написанный на C, пока был замечен лишь в нескольких атаках. Исследователи пишут, что часть его параметров еще не реализована полностью, а списки исключений заметно короче, чем у Go-версии. Для шифрования он использует AES-256-GCM и RSA, а вместо Tox вымогатели предлагают жертвам связываться с ними по email. Исследователи считают, что участники Gentlemen еще тестируют новый билд в реальных сетях, но со временем он может превратиться в более стабильный и масштабируемый инструмент.