Jedna z najaktywniejszych na świecie grup ransomware została podobno zhakowana, co daje rzadki wgląd w to, jak zbudowana, zarządzana i skalowana jest nowoczesna operacja ransomware.
Rosyjskojęzyczna grupa cyberprzestępcza znana jako The Gentlemen stała się jedną z najbardziej płodnych operacji ransomware 2026 roku. Tylko w ciągu pierwszych pięciu miesięcy roku gang opublikował na swojej stronie z wyciekami skradzione dane około 332 organizacji. Rzeczywista liczba ofiar jest prawdopodobnie wyższa, ponieważ grupy ransomware zwykle nie umieszczają na liście organizacji, które zapłaciły.
Według Check Point Research ta aktywność czyni The Gentlemen drugą najbardziej produktywną grupą ransomware tego roku, ustępującą tylko Qilin.
Jednak na początku maja sama grupa stała się ofiarą.
Anonimowa grupa podobno włamała się do wewnętrznej bazy danych backendu The Gentlemen i oferuje teraz na sprzedaż ponad 16 GB wewnętrznej komunikacji, narzędzi i danych operacyjnych. Mniejsza próbka, która wyciekła, dała już badaczom cenny wgląd w wewnętrzną strukturę grupy, jej procesy, narzędzia i model biznesowy.
Grupa ransomware dotknięta własnymi taktykami
Włamanie jest ciosem wizerunkowym dla The Gentlemen. Grupy ransomware opierają się na strachu, kontroli i postrzeganym bezpieczeństwie operacyjnym. Zhakowanie podważa ten wizerunek.
Badacze nie spodziewają się jednak, że incydent znacząco zakłóci działalność grupy. Próbka, która wyciekła, daje wgląd, ale nie wygląda na to, by ujawniała jedną „magiczną formułę”, która natychmiast rozbiłaby gang.
Zamiast tego wyciek pokazuje coś bardziej praktycznego: The Gentlemen działa mniej jak chaotyczna banda przestępców, a bardziej jak uporządkowane przedsiębiorstwo.
Ta struktura może być jednym z głównych powodów jego szybkiego rozwoju.
Przywództwo: zeta88 w centrum
W centrum operacji The Gentlemen stoi osoba znana w sieci jako zeta88.
Według przeanalizowanych danych zeta88 wydaje się pełnić kilka kluczowych ról. Tworzy i utrzymuje szyfrator ransomware, zarządza infrastrukturą, nadzoruje narzędzia, wybiera cele, przydziela operatorów, prowadzi negocjacje i zarządza wypłatami.
Taki poziom bezpośredniego zaangażowania ma znaczenie. Wiele operacji ransomware-as-a-service w dużym stopniu opiera się na afiliantach, ale The Gentlemen wydaje się mieć zaangażowanego centralnego administratora, który rozumie zarówno techniczną, jak i operacyjną stronę ataków.
Badacze uważają, że takie doświadczenie mogło pomóc grupie w szybkim skalowaniu. Lider z doświadczeniem afilianta rozumie, czego potrzebują operatorzy, co spowalnia ataki i jak zbudować proces, który utrzymuje operację w ruchu.
Zdefiniowane role i jasny przepływ pracy przestępców
Dane, które wyciekły, sugerują, że The Gentlemen ma wyraźny wewnętrzny podział pracy.
Dwóch kluczowych operatorów, znanych jako qbit i quant, wydaje się wspierać główną operację:
qbit koncentruje się na skanowaniu w poszukiwaniu podatnych urządzeń brzegowych, rozpoznaniu i ustanawianiu trwałości w atakowanych środowiskach.
quant specjalizuje się w uzyskiwaniu dostępu za pomocą logów i poświadczeń.
Poza nimi grupa podobno obejmuje mniejszy zespół wsparcia składający się z red teamerów, brokera dostępu, a nawet specjalisty od reklamy. Sugeruje to szerszy ekosystem wokół rdzenia grupy, potencjalnie obejmujący afiliantów lub zewnętrznych współpracowników.
Struktura ta przypomina korporacyjny przepływ pracy:
- wybór celów
- rozpoznanie
- wstępny dostęp
- trwałość
- eskalacja uprawnień
- wdrożenie narzędzi
- uruchomienie ransomware
- negocjacje
- podział płatności
- presja przez stronę z wyciekami
Przestępczy charakter operacji nie zmienia faktu, że jej sukces wydaje się wynikać z organizacji, specjalizacji i dyscypliny procesowej.
Hojny model wypłat
Jednym z najciekawszych ustaleń jest model płatności stosowany przez grupę.
Według próbki, która wyciekła, zeta88 zatrzymuje 10% udanych płatności okupu, a pozostali operatorzy zaangażowani w atak dzielą między siebie pozostałe 90%.
To hojny podział w porównaniu z niektórymi operacjami przestępczymi i może pomagać wyjaśnić, dlaczego grupa potrafi przyciągać i zatrzymywać zdolnych współpracowników.
W ekosystemach ransomware-as-a-service zachęty dla afiliantów mają znaczenie. Jeśli operatorzy uważają, że mogą zarobić większy udział, korzystając z niezawodnych narzędzi i infrastruktury, chętniej biorą udział w operacji.
Model ten pomaga też centralnemu administratorowi utrzymać kontrolę, nie zniechęcając wykwalifikowanych atakujących do dołączenia.
Dojrzałe narzędzia, ale nie unikalne
Techniczny zestaw narzędzi The Gentlemen opisano jako dojrzały, ale niebędący szczególnie unikalnym.
Grupa wykorzystuje znane podatności i ugruntowane techniki exploitacji, aby przejmować cele. Jej zestaw narzędzi pomocniczych obejmuje prawie 30 różnych narzędzi używanych do skanowania, zdalnego dostępu, trwałości, ruchu bocznego i unikania wykrycia.
Grupa stosuje także techniki mające na celu ominięcie narzędzi do wykrywania i reagowania na punktach końcowych (EDR) oraz programów antywirusowych. Jednym z przykładów jest taktyka bring-your-own-vulnerable-driver, w której atakujący nadużywają legalnych, ale podatnych sterowników, aby zakłócić działanie mechanizmów bezpieczeństwa.
To częsty wzorzec we współczesnych operacjach ransomware. Atakujący nie zawsze potrzebują wysoce oryginalnych narzędzi. Często odnoszą sukces dzięki łączeniu znanych podatności, skradzionych poświadczeń, legalnych narzędzi zdalnego dostępu, technik unikania obrony i zdyscyplinowanego wykonania.
Uczenie się od innych grup ransomware
Wyciek pokazuje też, że The Gentlemen uważnie obserwuje inne grupy ransomware.
Członkowie podobno omawiali grupy rywalizujące lub równorzędne, dzieląc się opiniami i wnioskami z szerszego ekosystemu ransomware. Studiowali również wcześniejsze wycieki z innych grup, w tym Black Basta, interesując się tematami takimi jak podpisywanie kodu.
Ma to znaczenie, ponieważ grupy cyberprzestępcze nie działają w izolacji. Techniki, modele biznesowe, strategie negocjacyjne, decyzje dotyczące narzędzi i wnioski operacyjne rozprzestrzeniają się w podziemiu.
Gdy jedna grupa ransomware zostaje zhakowana, inne grupy mogą analizować wyciek, aby ulepszyć własne operacje. Jak na ironię, The Gentlemen wydaje się robić dokładnie to z wcześniejszymi wyciekami ransomware, zanim sam doświadczył własnego.
Zainteresowanie AI, ale praktyczne ograniczenia
Dane, które wyciekły, sugerują również, że The Gentlemen eksperymentowało ze sztuczną inteligencją.
Członkowie podobno używali dużych modeli językowych do wspomagania tworzenia kodu i dyskutowali o budowie własnego narzędzia opartego na LLM do złośliwych celów. Grupa dostrzegała jednak także ograniczenia obecnych systemów AI.
Jeden z komentarzy przypisywanych zeta88 sugerował, że nawet przy użyciu sieci neuronowych operatorzy nadal muszą rozumieć, co robią, i dokładnie myśleć, ponieważ narzędzia AI mogą być zawodne.
Odzwierciedla to szerszą rzeczywistość w cyberprzestępczości. AI może pomagać atakującym szybciej pisać kod, automatyzować zadania, generować treści i wspierać rozwój, ale nie zastępuje zrozumienia technicznego. Wykwalifikowani operatorzy nadal muszą weryfikować, dostosowywać i kontrolować wyniki.
Na razie AI wydaje się raczej narzędziem zwiększającym produktywność niż w pełni autonomicznym operatorem ransomware.
Co ten wyciek oznacza dla obrońców
Włamanie do The Gentlemen dostarcza obrońcom przydatnych informacji wywiadowczych, ale nie należy go postrzegać jako rozbicie grupy.
Operacje grupy mogą być kontynuowane, a dane, które wyciekły, mogą nie zawierać dość informacji, by w pełni zakłócić jej infrastrukturę lub sieć afiliantów. Wgląd w role, przepływy pracy, narzędzia i taktyki może jednak pomóc zespołom bezpieczeństwa lepiej zrozumieć, jak działają szybko rosnące operacje ransomware.
Kluczowe wnioski dla obrony obejmują:
- grupy ransomware są zorganizowane i działają według procesów
- urządzenia brzegowe pozostają głównym celem dla uzyskania wstępnego dostępu
- wystawione usługi i niezałatane podatności to wysokie ryzyko
- skradzione poświadczenia i logi mogą umożliwić włamanie
- omijanie EDR pozostaje priorytetem atakujących
- grupy ransomware aktywnie studiują nawzajem swoje techniki
- jasne wewnętrzne przepływy pracy zwiększają produktywność atakujących
- skuteczne reagowanie na incydenty musi zakładać, że atakujący są skoordynowani i uporczywi
Organizacje powinny traktować obronę przed ransomware jako kwestię odporności operacyjnej, a nie tylko problem wykrywania malware’u.
Priorytety obronne dla organizacji
Aby zmniejszyć ryzyko ransomware, organizacje powinny skupić się na obszarach najczęściej nadużywanych przez grupy takie jak The Gentlemen:
- szybko łatać systemy wystawione do internetu
- monitorować podatne urządzenia brzegowe
- wymuszać MFA odporne na phishing
- rotować ujawnione poświadczenia
- ograniczać narzędzia zdalnego dostępu
- monitorować nietypową aktywność administracyjną
- wykrywać podejrzane ładowanie sterowników
- przeglądać próby manipulowania EDR
- segmentować systemy krytyczne
- utrzymywać przetestowane kopie zapasowe offline
- monitorować wzorce eksfiltracji danych
- przygotować scenariusze negocjacji z ransomware i reagowania na incydenty
- regularnie przeprowadzać ćwiczenia tabletop
Celem nie jest tylko powstrzymanie uruchomienia ransomware, ale zakłócenie całego łańcucha ataku, zanim rozpocznie się szyfrowanie lub wymuszenie okupu.
Podsumowanie
Włamanie do grupy ransomware The Gentlemen oferuje rzadkie spojrzenie za kulisy bardzo aktywnej operacji cyberprzestępczej.
Najważniejsza lekcja nie polega na tym, że grupa używa tajnej, rewolucyjnej techniki. Jej sukces wydaje się raczej wynikać ze struktury, specjalizacji, zachęt i zdyscyplinowanego wykonania.
The Gentlemen działa jak przestępcze przedsiębiorstwo: jasne przywództwo, zdefiniowane role, dojrzałe narzędzia, silne zachęty dla afiliantów i ciągła nauka od szerszego ekosystemu ransomware.
Dla obrońców oznacza to, że ransomware trzeba zwalczać z równą dyscypliną. Organizacje potrzebują widoczności, łatania, bezpieczeństwa tożsamości, ochrony punktów końcowych, odporności kopii zapasowych i przećwiczonego reagowania na incydenty.
The Gentlemen mogli ponieść stratę wizerunkową, ale gospodarka ransomware pozostaje wysoce adaptacyjna. Zespoły bezpieczeństwa powinny wykorzystać informacje wywiadowcze z takich incydentów, aby wzmocnić obronę, zanim nadejdzie kolejna fala ataków.
