Vue d’ensemble
The Gentlemen est un groupe RaaS apparu en juillet–août 2025, qui a rapidement revendiqué plus de 320 victimes dans plus de 17 pays en offrant 90 % des revenus aux affiliés ; il déploie un locker écrit en Go contre des systèmes Windows, Linux, NAS et BSD. La compromission d’un serveur de commande et contrôle en 2026 a révélé plus de 1 570 victimes liées.
- Premier suivi: 2025-09-09
- Alias: Storm-2697
- Citée dans nos rapports: France · Synthèse du Golfe · Koweït · Maghreb · Oman · Qatar · Arabie saoudite · Turquie · Émirats
Ce que disent les sources publiques
Alias: LARVA-368 (PRODAFT tracking name of its lead operator)
- Apparu mi à fin 2025 après la brouille de son opérateur principal avec le programme d’affiliation de Qilin ; l’équipe centrale avait auparavant travaillé comme équipe d’affiliés. Des recherches publiées en juin 2026 décrivent le chef comme russophone, et des enquêtes journalistiques situent l’opérateur présumé en Russie.
- Il a revendiqué des centaines de victimes en quelques mois, et son chiffreur cible Windows, Linux, NAS et BSD.
Gurucul · Barracuda · The Hacker News
Géographie : origine et cibles
Origine estimée: Russie. Les recherches décrivent l’opérateur principal comme russophone, et des enquêtes journalistiques situent l’opérateur présumé en Russie. L’attribution est incertaine : à lire comme une évaluation, pas comme une preuve.
États-Unis d'Amérique185
Royaume-Uni43
France41
Allemagne40
Thaïlande40
Inde35
Italie35
Brésil34
Taïwan25
Canada25
Vulnérabilités exploitées
| Éditeur | Produit | CVE | Catégorie | Source |
|---|---|---|---|---|
| Windows | SMB Client | CVE-2025-33073 | Microsoft | checkpoint.com |
| Windows | SmartScreen | CVE-2024-21412 | Microsoft | ransom-isac.com, trendmicro.com |
| Windows | Local Security Authority (LSA) | CVE-2021-36942 | Microsoft | security.com, kelacyber.com |
| Windows | NetLogon | CVE-2020-1472 | Microsoft | cisa.gov, cisa.gov, cisa.gov, cisa.gov, cisa.gov, thedfirreport.com, thedfirreport.com, cisa.gov, cisa.gov, welivesecurity.com, cisa.gov, thedfirreport.com, checkpoint.com |
| MS Server Products | SMBv1 | CVE-2017-0144 | Microsoft | sentinelone.com, cisa.gov, welivesecurity.com, cisa.gov, kelacyber.com |
| Fortinet | FortiOS & FortiProxy | CVE-2024-55591 | Équipements de bordure | esentire.com, forescout.com, s-rminform.com, checkpoint.com, ccb.belgium.be, checkpoint.com |
| Cisco | Erlang/OTP SSH server | CVE-2025-32433 | Équipements de bordure | checkpoint.com |
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
Détail des techniques
Accès initial (TA0001)
- T1078 · Valid Accounts: Utilisation de comptes valides pour l’accès initial.
- T1078.002 · Valid Accounts: Domain Accounts: Utilisation de comptes de domaine valides pour l’accès initial.
- T1133 · External Remote Services: openconnect est utilisé pour s’authentifier auprès du VPN SSL FortiGate (--protocol=fortinet). Les acteurs se connectent après l’obtention d’identifiants pour énumérer les routes du réseau interne.
- T1190 · Exploit Public-Facing Application: Exploitation d’applications exposées pour l’accès initial.
- T1566 · Phishing: Hameçonnage ciblé via des boîtes OWA d’entreprise compromises. Des charges utiles ZIP contenant des fichiers LNK déguisés en PDF/DOC/XLS ou des documents Office malveillants sont envoyées depuis des comptes de messagerie légitimes de l’entreprise pour contourner les filtres antispam.
Exécution (TA0002)
- T1047 · Windows Management Instrumentation: NetExec (nxc) avec les options -X/-x sert à l’exécution distante de PowerShell/CMD via WMI/SMB. TrustedSec Titanis est utilisé pour l’exécution distante via WMI à partir de hachages NTLM.
- T1059 · Command and Scripting Interpreter: Utilisation d’interpréteurs de commandes et de scripts pour l’exécution.
- T1059.001 · Command and Scripting Interpreter: PowerShell: Utilisation de PowerShell pour l’exécution.
- T1059.003 · Command and Scripting Interpreter: Windows Command Shell: Utilisation de l’interpréteur de commandes Windows pour l’exécution.
- T1072 · Software Deployment Tools: Le locker et des EDR killers sont déployés à l’échelle du domaine via GPO (deploy_gpo.ps1), la GPO étant configurée pour exécuter les binaires au démarrage sur toutes les machines jointes au domaine.
Persistance (TA0003)
- T1136 · Create Account: Création de comptes pour assurer la persistance.
- T1543 · Create or Modify System Process: Velociraptor est déployé comme service Windows de niveau SYSTEM via MSI (artefact Server.Utils.CreateMSI) pour un accès persistant par balise.
- T1547 · Boot or Logon Autostart Execution: Exécution automatique au démarrage ou à l’ouverture de session pour la persistance.
Élévation de privilèges (TA0004)
- T1068 · Exploitation for Privilege Escalation: Exploitation de vulnérabilités pour l’élévation de privilèges.
- T1187 · Forced Authentication: Coercition PetitPotam via le module NXC coerce_plus pour déclencher une authentification NTLM des hôtes du domaine vers un écouteur de relais contrôlé par l’attaquant.
- T1557 · Adversary-in-the-Middle: Responder (SMB/HTTP désactivés) combiné à ntlmrelayx ciblant LDAP pour créer des comptes machines. RelayKing sert à repérer des possibilités de relais SMB/LDAP/MSSQL/HTTP/RPC/WinRM.
Évasion des défenses (TA0005)
- T1027 · Obfuscated Files or Information: Obfuscation de fichiers ou d’informations pour échapper à la détection.
- T1070 · Indicator Removal: Un script automatisé post-compromission efface tous les journaux d’événements Windows via wevtutil, supprime les clés de registre RDP MRU, les fichiers .rdp, vide la corbeille et efface les journaux RDP/SMB/WinRM.
- T1090 · Proxy: ProxyChains (Windows/Linux), redirection de ports dynamique SSH (-NfD 1080), pivotage multi-sauts avec ProxyJump. Double VPN auto-hébergé avec WireGuard/OpenVPN et Amnezia VPN pour l’anonymat de l’opérateur.
- T1112 · Modify Registry: Modification du registre pour échapper aux défenses.
- T1484.001 · Domain Policy Modification: Group Policy Modification: Modification de la stratégie de groupe pour échapper aux défenses.
- T1562 · Impair Defenses: Affaiblissement des défenses pour éviter la détection.
- T1562.001 · Impair Defenses: Disable or Modify Tools: Pilotes BYOVD (3 500 à 5 000 dollars sur le dark web), EDRStartupHinder, GFreeze/GLinker contre CrowdStrike, redirection par le registre IFEO des processus EDR vers calc.exe, et attaques par liens symboliques WMI GlobalLogger/WPR pour écraser les binaires EDR au démarrage.
Accès aux identifiants (TA0006)
- T1003 · OS Credential Dumping: XenAllPasswordPro est déployé via SMB pour une collecte massive d’identifiants de navigateurs sur tous les hôtes. KslDump/KslKatz pour l’extraction de LSASS. Velociraptor pour des vidages mémoire complets sans détection antivirus. Pass-the-Hash via xfreerdp.
- T1110 · Brute Force: Bruteforcer de panneau FortiGate sur mesure, exécuté sur du matériel dédié (double Xeon, 120 Go de RAM) et visant des ports non standard. Pulvérisation d’identifiants avec des mots de passe par défaut connus. Hydra pour la pulvérisation sur des messageries. Cassage de hachages via crackmd5.ru et chamd5.org.
- T1552 · Unsecured Credentials: Exfiltration de fichiers de configuration FortiGate contenant des identifiants LDAP en clair, des mots de passe d’utilisateurs VPN locaux et des clés pré-partagées IPSec. MANSPIDER sert à rechercher des fichiers d’identifiants dans les partages SMB.
- T1555 · Credentials from Password Stores: DumpBrowserSecrets sert à voler les identifiants et cookies de session des navigateurs. Les cookies sont importés via l’extension Cookie-Editor pour détourner des sessions authentifiées M365, CRM et messagerie.
Découverte (TA0007)
- T1018 · Remote System Discovery: Scanner de ports interne gogo sur des sous-réseaux /24 (ports 22, 53, 80, 88, 389, 443, 445, 636, 3389, 1433, 5985) avec 100 threads et ping ICMP. NetExec pour l’énumération d’hôtes SMB/WinRM/LDAP.
- T1046 · Network Service Discovery: Découverte des services réseau.
- T1069 · Permission Groups Discovery: BloodHound/CertiHound pour énumérer AD et AD CS (ESC1–ESC17). ADFind et ldapdomaindump pour cartographier groupes et permissions. PrivHound pour identifier des vecteurs d’élévation de privilèges locale dans AD.
- T1087 · Account Discovery: Découverte des comptes dans l’environnement.
- T1087.002 · Account Discovery: Domain Account: Découverte des comptes de domaine dans l’environnement.
- T1482 · Domain Trust Discovery: Découverte des relations d’approbation entre domaines.
- T1526 · Cloud Service Discovery: Énumération de buckets AWS S3 et de clusters EKS après l’accès. Censys, Shodan, ZoomInfo et l’API c99.nl servent à la reconnaissance externe des points d’accès VPN et sous-domaines.
Déplacement latéral (TA0008)
- T1021 · Remote Services: Utilisation de services distants pour le déplacement latéral.
- T1021.001 · Remote Services: Remote Desktop Protocol: Utilisation de RDP pour le déplacement latéral.
- T1021.002 · Remote Services: SMB/Windows Admin Shares: Utilisation de SMB/partages d’administration Windows pour le déplacement latéral.
- T1021.004 · Remote Services: SSH: Utilisation de SSH pour le déplacement latéral.
- T1563 · Remote Service Session Hijacking: Vol de cookies de session de navigateur via DumpBrowserSecrets et rejeu via Cookie-Editor pour détourner des sessions authentifiées d’applications web (messagerie, M365, portails CRM).
Collecte (TA0009)
- T1005 · Data from Local System: Rapports HTML d’identifiants XenAllPasswordPro collectés par hôte. Vidages complets de bases SQL via phpMyAdmin exportés vers SFTP. Énumération du système de fichiers ciblant le code CRM, les sauvegardes et les données financières.
- T1039 · Data from Network Shared Drive: Collecte de données depuis les lecteurs partagés du réseau.
- T1074 · Data Staged: Préparation des données collectées avant l’exfiltration.
- T1074.001 · Data Staged: Local Data Staging: Préparation locale des données collectées avant l’exfiltration.
- T1114 · Email Collection: Accès à des boîtes OWA d’entreprise via des journaux d’infostealers achetés (snusbase.com) pour récolter communications internes, identifiants et documents sensibles.
Exfiltration (TA0010)
- T1048 · Exfiltration Over Alternative Protocol: Exfiltration de données via des canaux chiffrés.
- T1048.001 · Exfiltration Over Alternative Protocol: Exfiltration Over Symmetric Encrypted Non-C2 Protocol: Exfiltration via des canaux non C2 à chiffrement symétrique.
- T1537 · Transfer Data to Cloud Account: rclone vers des serveurs SFTP contrôlés par l’acteur avec un fort parallélisme (--transfers 16 --multi-thread-streams 8 --buffer-size 256M). Volumes observés : 13 Go de NAS, plus de 3 To de Docker/Nexus, plus de 100 Go de Confluence/JIRA.
Commande et contrôle (TA0011)
- T1071 · Application Layer Protocol: Utilisation de protocoles de la couche application pour la communication de commande et contrôle.
- T1071.001 · Application Layer Protocol: Web Protocols: Utilisation de protocoles web pour la communication de commande et contrôle.
- T1219 · Remote Access Software: Utilisation de logiciels d’accès distant pour la commande et le contrôle.
- T1572 · Protocol Tunneling: Proxys SOCKS dynamiques SSH (ssh -NfD 1080) pour le pivotage réseau. ProxyChains (Windows/Linux) pour faire transiter des outils d’attaque par des proxys SOCKS5 acquis auprès d’affiliés du spam et des logiciels malveillants.
- T1573 · Encrypted Channel: Les tunnels Cloudflare fondent la commande et contrôle dans le trafic HTTPS légitime. Chisel-ng (Rust, SSH sur WebSocket sur TLS) pour des tunnels inversés. Commande et contrôle Velociraptor sur TLS avec des balises MSI signées.
Impact (TA0040)
- T1486 · Data Encrypted for Impact: Chiffrement de données à des fins d’extorsion.
- T1489 · Service Stop: Arrêt de services pour maximiser l’impact.
- T1490 · Inhibit System Recovery: Tâches de sauvegarde Veeam arrêtées et supports de bandes effacés en profondeur (Erase-VBRTapeMedium -Long). Machines virtuelles Docker et QEMU arrêtées avant le chiffrement. vCenter utilisé pour réinitialiser les mots de passe root d’ESXi. Services de bases de données (MySQL, PostgreSQL, MongoDB, Redis, MSSQL) arrêtés avant le chiffrement.
- T1491 · Defacement: Données supprimées des panneaux web CRM et des bases de données. chmod -R 777 appliqué aux systèmes de fichiers NAS pour faciliter l’accès du locker et détruire les contrôles d’accès.
Outils
Vol d’identifiants
- DumpBrowserSecrets
- Hydra
- KslDump
- KslKatz
- XenAllPasswordPro
Évasion des défenses
- EDRStartupHinder
- GFreeze
- GLinker
Découverte
- ADFind
- BloodHound
- Censys
- CertiHound
- MANSPIDER
- PowerZure
- Shodan
- gogo scanner
- ldapdomaindump
Exfiltration
- rclone
Réseau et tunnels
- Chisel-ng
- ProxyChains
- Tor / Onion C2
- openconnect
Outils offensifs
- Custom Go Locker (Windows/Linux/NAS)
- NetExec (nxc)
- PetitPotam
- PrivHound
- RegPwn
- RelayKing
- Responder
- TrustedSec Titanis
- Velociraptor
- ZeroPulse
- ntlmrelayx
Outils d’administration à distance
- AnyDesk
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| Gentlecloud Protection | DLS | tezwsse5czllksjb7cwp65rvnk4oobmzti2znn42i43bjdfd2prqqkad[.]onion | Oui |
| — | DLS | i2ohjeeqe37jre4f2u7pyq73cbm6lecumdxapkvrlryna6rc3it4zsid[.]onion | Non |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11