Нов вид рансъмуер, наречен The Gentlemen, се очертава като една от най-агресивните заплахи, проследени през тази година. Той комбинира силно шифриране със саморазпространяващ се механизъм тип червей, който може да срине цяла корпоративна мрежа само от едно инфектирано устройство.

Написан на програмния език Go и маскиран с инструмента Garble, зловредният софтуер се появява за първи път в средата на 2025 г. и оттогава се е развил в пълнофункционална операция от типа „рансъмуер като услуга“ (RaaS).

Това, което отличава този рансъмуер, е не просто как заключва файловете, а докъде може да достигне, след като влезе в мрежата. Вместо да шифрира само машината, върху която попада, той активно търси други компютри в същата мрежа и се опитва да ги инфектира.

Тази функция за саморазпространение превръща един-единствен инфектиран лаптоп или сървър в стартова площадка за много по-мащабна атака.

Анализатори и изследователи от Picus Security посочват в доклад, споделен с Cyber Security News (CSN), че следят отблизо този зловреден софтуер и наскоро са публикували подробен анализ на неговата работа от началото до края.

Тяхното изследване показва, че рансъмуерът следва много точна последователност, започвайки с проверка на пароли и ескалация на привилегии, преминавайки през избягване на защити, шифриране и накрая – разпространение в цялата мрежа.

Въздействието до момента е усетено в секторите на образованието, транспорта, здравеопазването и финансовите организации в Северна Америка, Южна Америка, Европа, Африка и Азия.

Групата зад него също така си партнира с общността BreachForums за набиране на сътрудници, включително специалисти по проникване (penetration testers) и брокери за първоначален достъп – стъпка, която вероятно ще разшири кръга от атакуващи, използващи този инструмент.

В комбинация с тактики за двойно изнудване, при които откраднатите данни се използват като средство за оказване на натиск успоредно с шифрирането, заплахата представлява сериозен риск за организации от почти всякакъв мащаб или сектор.

Рансъмуерът The Gentlemen използва 21 техники за отдалечено изпълнение

Функцията за саморазпространение се задейства от флаг в командния ред, наречен –spread, и е това, което отличава този рансъмуер от по-конвенционалните инструменти за шифриране на единични хостове.

Веднъж активиран, инфектираният компютър се превръща в център за дистрибуция, като копира собствения си двоичен файл в папка и го споделя в скрита мрежова директория, конфигурирана за анонимен достъп.

Оттам зловредният софтуер изтегля легитимен системен инструмент PsExec (от локално копие или чрез изтегляне) и започва да сканира мрежата за достъпни машини, включително обикновени работни станции, сървъри и домейн контролери.

Всяка открита машина се превръща в цел за инфектиране. Срещу всяка цел зловредният софтуер първо изпълнява скрипт, който отслабва защитата на отдалечената машина, деактивирайки мониторинга на сигурността, изключвайки защитната стена и дори активирайки отново остаряла и несигурна версия на протокола за споделяне на файлове.

Едва след като разчисти този път, той се опитва действително да стартира рансъмуер кода. За да го направи, зловредният софтуер изпробва до 21 различни метода за отдалечено изпълнение на цел, включително отдалечено копиране на файлове, PsExec, планирани задачи, услуги на Windows и техники, базирани на PowerShell.

Тъй като всеки метод работи независимо, за нападателите е достатъчно само един от тях да успее на дадена машина, за да продължи разпространението на инфекцията.

Тактики за шифриране и избягване на защити

Преди да докосне дори един файл, рансъмуерът работи за деактивиране на Microsoft Defender, изтриване на форензични логове и изтриване на сенчести копия (Volume Shadow Copies) двукратно чрез две отделни команди за по-голяма надеждност.

Той също така изчиства историята на командите и изтрива инструментите за архивиране и възстановяване, за да направи възстановяването на системите без плащане на откуп много по-трудно.

За същинското шифриране зловредният софтуер използва хибриден подход, съчетаващ елиптична криптография Curve25519 с поточния шифър XChaCha20, генерирайки уникален ключ за всеки отделен файл, до който се докосне.

Този дизайн прави декриптирането на файлове без частния ключ на атакуващия практически невъзможно, като преименува всеки шифриран файл с различно разширение.

Организациите трябва да се съсредоточат върху валидирането на своите защити срещу тази конкретна верига на атака, вместо да разчитат на генерични защити срещу рансъмуер.

Тестването на контролите за сигурност срещу реални симулации на атаки, поддържането на офлайн резервни копия и стриктното наблюдение за специфичните команди и мрежово поведение, описани по-горе, са практически стъпки, които могат значително да намалят риска от този рансъмуер.