💀 Ransomware The Gentlemen атаковал 478 компаний и распространяется как червь История началась с кидка: LARVA-368 обвинил Qilin в выходе со сливом средств на $48 000 и ушёл строить свою RaaS-программу. Сегодня The Gentlemen — самостоятельная группировка с жёстким разделением ролей: поддержка ведёт отдельный персонаж The Gentlemen Data, общение — через Tox, SimpleX и Ricochet Refresh, а в аффилиат-панель не пускают без гигабайта украденных данных. По данным PRODAFT, заявлено 478 жертв, и 10% всей ransomware-активности апреля 2026 — их рук дело. Личность организатора — Александр Япаев из Ижевска — подтверждена с высокой достоверностью. Технически группа эволюционировала стремительно. Пять версий локеров: Windows, Linux, ESXi, Windows XP+ и LVM. Шифрование — гибрид X25519 + XChaCha20. При флаге `--spread` малварь превращается в червя, при `--wipe` зачищает восстановимые артефакты с диска. Обфускация Go-бинарников через Garble, отключение Defender и зачистка Windows Event Logs — базовая гигиена. Из инструментария: NetExec, RelayKing, TaskHound для AD-разведки, BYOVD-дрова для обхода EDR, Velociraptor под C2. Среднее время присутствия в сети — от двух до шести недель, с особым аппетитом к VMware-инфраструктуре. Утечка Rocket.Chat-базы группы (3 366 сообщений за ноябрь-апрель) и открытая директория аффилиата на Proton66 со 126 файлами полного операторского тулкита дали редкий срез: CVE-2024-55591, CVE-2025-32433, CVE-2025-33073, атаки на Cisco и Fortinet-аплайенсы как точки входа, NTLM-релейные цепочки, компрометация контроллеров управления резервными копиями. Агрессивная модель дележа прибыли 90/10 в пользу аффилиатов и платные аккаунты на андеграунд-форумах — рекрутинговая машина. Меня цепляет скорость цикла разработки: в апреле 2026 вышел декриптор — в тот же день группа выпустила патч. Это не хактивисты-одиночки, а бизнес с управлением выпусками, который стыдно не иметь многим корпоративным вендорам. IR-командам стоит перестать думать о вымогателях как о хаотичных группировках и начать моделировать их как конкурентный сервис-провайдер с гарантиями уровня обслуживания. #TheGentlemen #RaaS #LARVA368 #ransomware #атрибуция