→ جميع جهات التهديدجهات التهديد

The Gentlemen

7ثغرات CVE
56التقنيات
34الأدوات
2مواقع التسريب

نظرة عامة

The Gentlemen مجموعة برمجيات فدية كخدمة ظهرت في يوليو–أغسطس 2025، وادّعت بسرعة أكثر من 320 ضحية في 17 دولة فأكثر بعرض حصة إيرادات 90% على الشركاء، وتنشر مشفّرًا مكتوبًا بلغة Go ضد أنظمة ويندوز ولينكس وNAS وBSD؛ وكشف اختراق خادم قيادة وتحكم لها في 2026 أكثر من 1,570 ضحية مرتبطة.

ما أوردته التقارير المنشورة

أسماء أخرى: LARVA-368 (PRODAFT tracking name of its lead operator)

  • ظهرت المجموعة في منتصف عام 2025 أو أواخره، عقب خلاف بين مشغّلها الرئيسي وبرنامج الشركاء التابع لـQilin. وكان الفريق الأساسي يعمل سابقًا بصفته فريقًا من الشركاء. وتصف أبحاث نُشرت في يونيو 2026 المشغّل الرئيسي بأنه ناطق بالروسية، بينما تشير تقارير استقصائية إلى وجود المشغّل المزعوم في روسيا.
  • أعلنت المجموعة عن مئات الضحايا خلال بضعة أشهر، ويستهدف برنامج التشفير لديها أنظمة Windows وLinux وأجهزة التخزين المتصل بالشبكة (NAS) وأنظمة BSD.

Gurucul · Barracuda · The Hacker News

النطاق الجغرافي: المنشأ والأهداف

الولايات المتحدة: 185المملكة المتحدة: 43فرنسا: 41ألمانيا: 40تايلاند: 40الهند: 35إيطاليا: 35البرازيل: 34تايوان: 25كندا: 25المكسيك: 22اليابان: 22بولندا: 21إسبانيا: 19الأرجنتين: 18أستراليا: 16The Gentlemen · روسياTG

المنشأ المُقدَّر: روسيا. تشير الأبحاث إلى أن المشغّل الرئيسي ناطق بالروسية، فيما تضع تقارير استقصائية المشغّل المزعوم داخل روسيا. لا يزال إسناد هذه المجموعة إلى جهة أو بلد معين غير مؤكد. لذا ينبغي التعامل مع هذا التقييم بوصفه تقديرًا يستند إلى المعلومات المتاحة، لا دليلًا قاطعًا.

  1. الولايات المتحدة185
  2. المملكة المتحدة43
  3. فرنسا41
  4. ألمانيا40
  5. تايلاند40
  6. الهند35
  7. إيطاليا35
  8. البرازيل34
  9. تايوان25
  10. كندا25

الثغرات التي ثبت استغلالها

الشركة المصنّعةالمنتجالمعرّفالفئةالمصدر
WindowsSMB ClientCVE-2025-33073مايكروسوفتcheckpoint.com
WindowsSmartScreenCVE-2024-21412مايكروسوفتransom-isac.com, trendmicro.com
WindowsLocal Security Authority (LSA)CVE-2021-36942مايكروسوفتsecurity.com, kelacyber.com
WindowsNetLogonCVE-2020-1472مايكروسوفتcisa.gov, cisa.gov, cisa.gov, cisa.gov, cisa.gov, thedfirreport.com, thedfirreport.com, cisa.gov, cisa.gov, welivesecurity.com, cisa.gov, thedfirreport.com, checkpoint.com
MS Server ProductsSMBv1CVE-2017-0144مايكروسوفتsentinelone.com, cisa.gov, welivesecurity.com, cisa.gov, kelacyber.com
FortinetFortiOS & FortiProxyCVE-2024-55591أجهزة ومكونات الحافة الشبكيةesentire.com, forescout.com, s-rminform.com, checkpoint.com, ccb.belgium.be, checkpoint.com
CiscoErlang/OTP SSH serverCVE-2025-32433أجهزة ومكونات الحافة الشبكيةcheckpoint.com

تقنيات ATT&CK

تمثل الأعمدة تكتيكات إطار MITRE ATT&CK، وتعرض كل خلية تقنية نُسب استخدامها إلى المجموعة في مصادر منشورة. ولا يعني إدراج تقنية أنها استُخدمت بالضرورة في حادثة محددة، كما أن عدم إدراجها لا يثبت أن المجموعة لا تستخدمها.

الوصول الأوليالتنفيذالاستمراريةتصعيد الامتيازاتتفادي الاكتشافالوصول إلى بيانات الاعتمادالاستكشافالحركة الجانبيةجمع البياناتاستخراج البياناتالقيادة والتحكمالتأثير
Valid AccountsWindows Management InstrumentationCreate AccountExploitation for Privilege EscalationObfuscated Files or InformationOS Credential DumpingRemote System DiscoveryRemote ServicesData from Local SystemExfiltration Over Alternative ProtocolApplication Layer ProtocolData Encrypted for Impact
Valid Accounts: Domain AccountsCommand and Scripting InterpreterCreate or Modify System ProcessForced AuthenticationIndicator RemovalBrute ForceNetwork Service DiscoveryRemote Services: Remote Desktop ProtocolData from Network Shared DriveExfiltration Over Alternative Protocol: Exfiltration Over Symmetric Encrypted Non-C2 ProtocolApplication Layer Protocol: Web ProtocolsService Stop
External Remote ServicesCommand and Scripting Interpreter: PowerShellBoot or Logon Autostart ExecutionAdversary-in-the-MiddleProxyUnsecured CredentialsPermission Groups DiscoveryRemote Services: SMB/Windows Admin SharesData StagedTransfer Data to Cloud AccountRemote Access SoftwareInhibit System Recovery
Exploit Public-Facing ApplicationCommand and Scripting Interpreter: Windows Command ShellModify RegistryCredentials from Password StoresAccount DiscoveryRemote Services: SSHData Staged: Local Data StagingProtocol TunnelingDefacement
PhishingSoftware Deployment ToolsDomain Policy Modification: Group Policy ModificationAccount Discovery: Domain AccountRemote Service Session HijackingEmail CollectionEncrypted Channel
Impair DefensesDomain Trust Discovery
Impair Defenses: Disable or Modify ToolsCloud Service Discovery

تفاصيل التقنيات

الوصول الأولي (TA0001)
  • T1078 · Valid Accounts: استخدام حسابات صالحة للوصول الأولي.
  • T1078.002 · Valid Accounts: Domain Accounts: استخدام حسابات نطاق صالحة للوصول الأولي.
  • T1133 · External Remote Services: يُستخدم openconnect للمصادقة إلى FortiGate SSL VPN (--protocol=fortinet). يتصل المهاجمون بعد الحصول على بيانات الاعتماد لحصر مسارات الشبكة الداخلية.
  • T1190 · Exploit Public-Facing Application: استغلال التطبيقات المواجهة للإنترنت للوصول الأولي.
  • T1566 · Phishing: تصيد موجّه عبر صناديق بريد OWA مؤسسية مخترَقة. حمولات ZIP تحوي ملفات LNK متنكّرة بصيغة PDF/DOC/XLS أو مستندات Office خبيثة تُرسل من حسابات بريد شرعية للشركة لتجاوز مرشحات البريد المزعج.
التنفيذ (TA0002)
  • T1047 · Windows Management Instrumentation: يُستخدم NetExec (nxc) بالخيارين -X/-x لتنفيذ PowerShell/CMD عن بُعد عبر WMI/SMB، وأداة TrustedSec Titanis للتنفيذ عن بُعد عبر WMI باستخدام بصمات NTLM.
  • T1059 · Command and Scripting Interpreter: استخدام مفسّرات الأوامر والسكربتات للتنفيذ.
  • T1059.001 · Command and Scripting Interpreter: PowerShell: استخدام PowerShell للتنفيذ.
  • T1059.003 · Command and Scripting Interpreter: Windows Command Shell: استخدام موجّه أوامر ويندوز للتنفيذ.
  • T1072 · Software Deployment Tools: يُنشر مشفّر الفدية وأدوات تعطيل EDR على مستوى النطاق عبر GPO (deploy_gpo.ps1)، مع ضبط GPO لتشغيل الملفات التنفيذية عند الإقلاع على كل الأجهزة المنضمة للنطاق.
الاستمرارية (TA0003)
  • T1136 · Create Account: إنشاء حسابات لتحقيق الاستمرارية.
  • T1543 · Create or Modify System Process: يُنشر Velociraptor كخدمة ويندوز بصلاحيات SYSTEM عبر MSI (مكوّن Server.Utils.CreateMSI) لوصول إشاري مستمر.
  • T1547 · Boot or Logon Autostart Execution: التشغيل التلقائي عند الإقلاع أو تسجيل الدخول لتحقيق الاستمرارية.
تصعيد الامتيازات (TA0004)
  • T1068 · Exploitation for Privilege Escalation: استغلال الثغرات لرفع الصلاحيات.
  • T1187 · Forced Authentication: إجبار PetitPotam عبر وحدة NXC coerce_plus لتحفيز مصادقة NTLM من أجهزة النطاق نحو مستمع ترحيل يتحكم به المهاجم.
  • T1557 · Adversary-in-the-Middle: Responder (مع تعطيل SMB/HTTP) مع ntlmrelayx يستهدف LDAP لإنشاء حسابات أجهزة. ويُستخدم RelayKing لفحص فرص الترحيل عبر SMB/LDAP/MSSQL/HTTP/RPC/WinRM.
تفادي الاكتشاف (TA0005)
  • T1027 · Obfuscated Files or Information: تعمية الملفات أو المعلومات للتهرب من الكشف.
  • T1070 · Indicator Removal: سكربت آلي بعد الاختراق يمسح جميع سجلات أحداث ويندوز عبر wevtutil، ويزيل مفاتيح سجل RDP MRU، ويحذف ملفات .rdp، ويفرغ سلة المحذوفات، ويمسح سجلات RDP/SMB/WinRM.
  • T1090 · Proxy: ProxyChains (ويندوز/لينكس)، وتمرير المنافذ الديناميكي عبر SSH (-NfD 1080)، والتنقل متعدد القفزات بـ ProxyJump. وشبكة VPN مزدوجة مستضافة ذاتيًا بـ WireGuard/OpenVPN وAmnezia VPN لإخفاء هوية المشغّل.
  • T1112 · Modify Registry: تعديل السجل للتهرب من الدفاعات.
  • T1484.001 · Domain Policy Modification: Group Policy Modification: تعديل سياسة المجموعة للتهرب من الدفاعات.
  • T1562 · Impair Defenses: إضعاف الدفاعات لتجنب الكشف.
  • T1562.001 · Impair Defenses: Disable or Modify Tools: برامج تشغيل BYOVD (بسعر 3500–5000 دولار في الشبكة المظلمة) وEDRStartupHinder وGFreeze/GLinker ضد CrowdStrike، وإعادة توجيه عمليات EDR إلى calc.exe عبر سجل IFEO، وهجمات الروابط الرمزية لـ WMI GlobalLogger/WPR للكتابة فوق ملفات EDR التنفيذية عند الإقلاع.
الوصول إلى بيانات الاعتماد (TA0006)
  • T1003 · OS Credential Dumping: يُنشر XenAllPasswordPro عبر SMB لجمع بيانات اعتماد المتصفحات على نطاق واسع من كل الأجهزة. وKslDump/KslKatz لاستخراج LSASS. وVelociraptor لتفريغ الذاكرة الكامل دون كشف مضادات الفيروسات. وPass-the-Hash عبر xfreerdp.
  • T1110 · Brute Force: أداة تخمين مخصصة للوحة FortiGate على عتاد مخصص (معالجان Xeon وذاكرة 120 غيغابايت) تستهدف منافذ غير قياسية. ورش بيانات اعتماد بكلمات مرور افتراضية معروفة. وHydra لرش البريد الإلكتروني. وكسر البصمات عبر crackmd5.ru وchamd5.org.
  • T1552 · Unsecured Credentials: تسريب ملفات إعداد FortiGate التي تحوي بيانات اعتماد LDAP بنص صريح وكلمات مرور مستخدمي VPN المحليين ومفاتيح IPSec المشتركة مسبقًا. ويُستخدم MANSPIDER للبحث في مجلدات SMB المشتركة عن ملفات بيانات الاعتماد.
  • T1555 · Credentials from Password Stores: يُستخدم DumpBrowserSecrets لسرقة بيانات اعتماد المتصفحات وملفات تعريف الجلسات، ثم تُستورد الكوكيز عبر إضافة Cookie-Editor لاختطاف جلسات موثّقة في M365 وأنظمة CRM والبريد.
الاستكشاف (TA0007)
  • T1018 · Remote System Discovery: ماسح المنافذ الداخلي gogo عبر الشبكات الفرعية /24 (المنافذ 22 و53 و80 و88 و389 و443 و445 و636 و3389 و1433 و5985) بـ 100 خيط وفحص ICMP. وNetExec لحصر أجهزة SMB/WinRM/LDAP.
  • T1046 · Network Service Discovery: اكتشاف خدمات الشبكة.
  • T1069 · Permission Groups Discovery: BloodHound/CertiHound لحصر AD وAD CS (ثغرات ESC1–ESC17). وADFind وldapdomaindump لرسم المجموعات والصلاحيات. وPrivHound لتحديد مسارات رفع الصلاحيات المحلية داخل AD.
  • T1087 · Account Discovery: اكتشاف الحسابات داخل البيئة.
  • T1087.002 · Account Discovery: Domain Account: اكتشاف حسابات النطاق داخل البيئة.
  • T1482 · Domain Trust Discovery: اكتشاف علاقات الثقة بين النطاقات.
  • T1526 · Cloud Service Discovery: حصر حاويات AWS S3 وعناقيد EKS بعد الوصول. واستخدام Censys وShodan وZoomInfo وواجهة c99.nl للاستطلاع الخارجي لنقاط VPN والنطاقات الفرعية.
الحركة الجانبية (TA0008)
  • T1021 · Remote Services: استخدام الخدمات البعيدة للحركة الجانبية.
  • T1021.001 · Remote Services: Remote Desktop Protocol: استخدام RDP للحركة الجانبية.
  • T1021.002 · Remote Services: SMB/Windows Admin Shares: استخدام SMB/المجلدات الإدارية في ويندوز للحركة الجانبية.
  • T1021.004 · Remote Services: SSH: استخدام SSH للحركة الجانبية.
  • T1563 · Remote Service Session Hijacking: سرقة كوكيز جلسات المتصفح عبر DumpBrowserSecrets وإعادة تشغيلها عبر Cookie-Editor لاختطاف جلسات تطبيقات ويب موثّقة (البريد وM365 وبوابات CRM).
جمع البيانات (TA0009)
  • T1005 · Data from Local System: تقارير HTML لبيانات الاعتماد من XenAllPasswordPro تُجمع لكل جهاز. وتفريغ كامل لقواعد بيانات SQL عبر phpMyAdmin يُصدَّر إلى SFTP. وحصر نظام الملفات مستهدفًا شيفرة CRM والنسخ الاحتياطية والبيانات المالية.
  • T1039 · Data from Network Shared Drive: جمع البيانات من الأقراص المشتركة على الشبكة.
  • T1074 · Data Staged: تجهيز البيانات المجمّعة قبل تسريبها.
  • T1074.001 · Data Staged: Local Data Staging: تجهيز محلي للبيانات المجمّعة قبل تسريبها.
  • T1114 · Email Collection: الوصول إلى صناديق بريد OWA المؤسسية عبر سجلات سرقة معلومات مشتراة (snusbase.com) لجمع المراسلات الداخلية وبيانات الاعتماد والمستندات الحساسة.
استخراج البيانات (TA0010)
  • T1048 · Exfiltration Over Alternative Protocol: استخراج البيانات عبر قنوات مشفّرة.
  • T1048.001 · Exfiltration Over Alternative Protocol: Exfiltration Over Symmetric Encrypted Non-C2 Protocol: تسريب عبر قنوات غير قيادة وتحكم بتشفير متماثل.
  • T1537 · Transfer Data to Cloud Account: استخدام rclone إلى خوادم SFTP يتحكم بها المهاجم بتوازٍ عالٍ (--transfers 16 --multi-thread-streams 8 --buffer-size 256M). وحجوم مرصودة: 13 غيغابايت من NAS، وأكثر من 3 تيرابايت من Docker/Nexus، وأكثر من 100 غيغابايت من Confluence/JIRA.
القيادة والتحكم (TA0011)
  • T1071 · Application Layer Protocol: استخدام بروتوكولات طبقة التطبيق لاتصال القيادة والتحكم.
  • T1071.001 · Application Layer Protocol: Web Protocols: استخدام بروتوكولات الويب لاتصال القيادة والتحكم.
  • T1219 · Remote Access Software: استخدام برمجيات الوصول عن بُعد للقيادة والتحكم.
  • T1572 · Protocol Tunneling: وكلاء SOCKS ديناميكية عبر SSH (ssh -NfD 1080) للتنقل في الشبكة. وProxyChains (ويندوز/لينكس) لتمرير أدوات الهجوم عبر وكلاء SOCKS5 مشتراة من شركاء البريد المزعج والبرمجيات الخبيثة.
  • T1573 · Encrypted Channel: أنفاق Cloudflare تمزج القيادة والتحكم مع حركة HTTPS المشروعة. وChisel-ng (Rust، وSSH عبر WebSocket عبر TLS) لأنفاق عكسية. وقيادة وتحكم Velociraptor عبر TLS بإشارات MSI موقّعة.
التأثير (TA0040)
  • T1486 · Data Encrypted for Impact: تشفير البيانات لأغراض الابتزاز.
  • T1489 · Service Stop: إيقاف الخدمات لتعظيم الأثر.
  • T1490 · Inhibit System Recovery: إيقاف مهام Veeam للنسخ الاحتياطي ومسح وسائط الشريط مسحًا طويلًا (Erase-VBRTapeMedium -Long). وإنهاء آلات Docker وQEMU الافتراضية قبل التشفير. واستخدام vCenter لإعادة ضبط كلمات مرور الجذر في ESXi. وإيقاف خدمات قواعد البيانات (MySQL وPostgreSQL وMongoDB وRedis وMSSQL) قبل التشفير.
  • T1491 · Defacement: حذف البيانات من لوحات ويب CRM وقواعد البيانات. وتطبيق chmod -R 777 على أنظمة ملفات NAS لتسهيل وصول مشفّر الفدية وتدمير ضوابط الوصول.

الأدوات

سرقة بيانات الاعتماد
  • DumpBrowserSecrets
  • Hydra
  • KslDump
  • KslKatz
  • XenAllPasswordPro
تفادي الاكتشاف
  • EDRStartupHinder
  • GFreeze
  • GLinker
الاستكشاف
  • ADFind
  • BloodHound
  • Censys
  • CertiHound
  • MANSPIDER
  • PowerZure
  • Shodan
  • gogo scanner
  • ldapdomaindump
استخراج البيانات
  • rclone
الشبكات والأنفاق
  • Chisel-ng
  • ProxyChains
  • Tor / Onion C2
  • openconnect
أدوات هجومية
  • Custom Go Locker (Windows/Linux/NAS)
  • NetExec (nxc)
  • PetitPotam
  • PrivHound
  • RegPwn
  • RelayKing
  • Responder
  • TrustedSec Titanis
  • Velociraptor
  • ZeroPulse
  • ntlmrelayx
أدوات الإدارة عن بُعد
  • AnyDesk

البنية التحتية لمواقع التسريب

العنوانالنوعالعنوان بعد تعطيل الرابطحالة الظهور وقت جمع البيانات
Gentlecloud ProtectionDLStezwsse5czllksjb7cwp65rvnk4oobmzti2znn42i43bjdfd2prqqkad[.]onionنعم
—DLSi2ohjeeqe37jre4f2u7pyq73cbm6lecumdxapkvrlryna6rc3it4zsid[.]onionلا

المصادر والتحفظات

تستند أوصاف المجموعات، ومواءمات MITRE ATT&CK، ومعلومات الأدوات ومواقع التسريب إلى مشاريع عامة لتتبع برمجيات الفدية، منها ransomware.live وCrocodyli. أما بيانات الثغرات التي استُغلت فتستند إلى مصفوفة Ransomware-Vulnerability-Matrix التابعة لـBushidoUK، المنشورة بموجب ترخيص CC BY 4.0. وقد استُكملت بعض البيانات عندما كانت المعلومات المتاحة عن مجموعة معينة في ذلك المصدر أحدث من البيانات لدينا. يرتبط كل معرّف CVE بمصدره الأصلي. أُبقيت الأوصاف التقنية باللغة الإنجليزية كما نُشرت. وعُطّلت روابط مواقع التسريب لتسهيل حظرها والكشف عنها؛ لا تزُر هذه المواقع. لم تتحقق ClairSec_ بصورة مستقلة من صحة المعلومات على مستوى كل حادثة.

تاريخ توثيق البيانات: 2026-10-11