#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Аффилиаты шифровальщика Gentlemen, связанные с группировкой GOLD SHERWOOD, используют быструю и адаптивную схему двойного вымогательства, часто разворачивая шифровальщик в течение двух дней после компрометации. Они получают доступ через украденные или подобранные методом перебора учетные данные VPN, перемещаются по сети с помощью RDP, выводят данные с использованием Rclone, отключают средства защиты и применяют Cloudflared для закрепления. Существуют варианты для Windows, Linux и ESXi, при этом развёртывание на Windows приводит к шифрованию файлов по всей сети.
-----

GOLD SHERWOOD с середины 2025 года эксплуатирует схему хакерской группировки The Gentlemen, работающей по модели «Программа-вымогатель как услуга», применяя тактику двойного вымогательства. Аффилированные лица крадут данные до шифрования систем, при этом в начале 2026 года количество публикаций данных жертв существенно возросло. Анализ 15 инцидентов несанкционированного доступа выявил воспроизводимый, но адаптивный сценарий действий: медианное время между первым зафиксированным действием после компрометации и развертыванием программы-вымогателя составляет примерно два дня, а в одном случае — менее 24 часов.

Первоначальный доступ, как правило, осуществлялся с использованием скомпрометированных учетных данных или учетных данных, полученных методом перебора, для служб VPN, в частности Fortinet SSL VPN. Одна из атак была успешной, поскольку многофакторная аутентификация не была включена. Связанные с группой лица также были замечены за проведением разведки и возможным эксплуатированием уязвимых к CVE-2024-55591 интерфейсов управления FortiGate, доступных из интернета, хотя это не было подтверждено во всех инцидентах. После получения доступа злоумышленники использовали действительные учетные данные домена по протоколу RDP для быстрого перемещения по файловым серверам, контроллерам домена и другим внутренним системам.

Атакующие разместили инструменты в легитимном каталоге `C:\PerfLogs`, включая утилиты для разведки, инструменты для эксфильтрации данных и инструменты для отключения EDR. Advanced IP Scanner и SoftPerfect Network Scanner использовались для картирования сетей и выявления критически важных систем. Активность по получению учетных данных включала извлечение идентификатора процесса LSASS; по сообщениям третьих лиц, операция связана с использованием Mimikatz. Для закрепления в системе Cloudflared был установлен как Служба Windows с токеном аутентификации, что позволило создать скрытый туннель, независимый от первоначального доступа через VPN.

Rclone являлся основным инструментом эксфильтрации, зафиксированным в пяти инцидентах; MEGAsync и FileZilla использовались реже. Аффилированные лица применяли целенаправленные команды Rclone и адаптировали свой рабочий процесс, переключившись на Restic и MinIO Client для структурированной подготовки данных и их передачи в удалённое хранилище. Обход защиты включал использование кастомных инструментов GentleKiller, открытого исходного кода Xkpsm-Killer и эксплуатации уязвимых драйверов с применением техники BYOVD. Исключения для PowerShell и изменения в реестре использовались для отключения Windows Defender, при этом службы резервного копирования и репликации были отключены, а журналы событий Windows очищены.

Вариант шифровальщика для Windows развертывался локально, с помощью PsExec или по сети через шары NETLOGON и пути UNC. Шифровальщики на базе Go шифровали файлы, добавляя к ним шестизначные расширения, и создавали файлы-заметки с выкупом `README-GENTLEMEN.txt`. В рамках операции также используются варианты для Linux и ESXi, однако подтверждено только развертывание версии для Windows.