The Gentlemen 勒索病毒解密与数据恢复

The Gentlemen 于 2025 年 7 月前后被公开记录，Unit 42 指其核心成员出自 Qilin 的附属团队 ArmCorp；2025 年 9 月正式以 RaaS 形式对外招募附属，给出 90/10 分成（市场惯例为 70%–80%）。微软追踪其运营者为 Storm-2697，Sophos 反威胁部门记为 GOLD SHERWOOD。

活跃度增长很快：Sophos 统计 2025 年下半年泄露站每月不足 20 家，2026 年初月均升至 75 家以上，7 月创下 169 家的单月新高，2025 年 9 月至 2026 年 7 月累计 683 家；Unit 42 另行统计截至 2026 年 7 月初约 580 家、覆盖 77 个国家和地区，并把它列为仅次于 Qilin 的第二活跃 RaaS。行业分布上，Unit 42 的 580 起中制造业最多（103 起），Sophos 则强调受害行业面很广、附属基本按手上能拿到的访问权选目标，属机会型。地域上卡巴斯基遥测把巴西、中国、印度尼西亚、中国台湾地区与泰国列为受攻击较多的区域。

2026 年 5 月 4 日，其管理员承认后台系统「Rocket」被入侵、内部数据外泄，Check Point 据此公开了约九名核心成员的分工与工具清单；此后团伙仍在持续运营。对国内企业而言，风险不在于是否被定向，而在于入口极其常规：未启用多因素认证的 VPN、暴露公网且未打补丁的边界防火墙、可直连的虚拟化管理口。

后缀：在原文件名末尾追加 6 位小写字母数字组成的后缀，Sophos 将其描述为「六位字符后缀」，微软公开分析的 Go 版样本使用 .umc16h；文件名主体不改写，订单.xlsx 变为 订单.xlsx.umc16h。公开资料未确认后缀是否每次构建重新生成，不同事件中遇到其他六位后缀并不能排除本家族，因此判定必须以勒索信为准。

勒索信：每个完成加密的目录下释放 README-GENTLEMEN.txt，英文书写，声称网络已被完全控制、只有其密钥能还原文件，并给出受害者编号、Tox ID 与数据公开期限。卡巴斯基 2026 年 6 月披露的 C 语言变种改用一种把 READ-ME 与 GEN-TLE-MEN 分段拼写的 .txt 文件名（确切标点以实际样本为准），并以邮箱替代 Tox。

其他迹象：Go 版加密器经 Garble 混淆，且必须带 8 字节口令参数才运行（规避沙箱，直接双击样本不会有动作）；系统、应用程序与安全三类事件日志被 wevtutil 清空，卷影副本被 vssadmin 与 wmic 删除，takeown、icacls、attrib 被用来强改属主与属性；域内可见 NETLOGON 共享分发与 PsExec、WMI 等多路径投放痕迹；主机上常见 Advanced IP Scanner、Rclone、Restic、SystemBC 以及以 Windows 服务形式安装的 Cloudflared。

判定要点：勒索信加 6 位后缀即可确认家族；但究竟是 Go 版还是 C 版、加密档位为何，必须取 3–5 个真实加密文件与勒索信原件做样本分析，这直接决定可恢复性结论。

Sophos 统计显示，其附属成员从初始入侵到投放加密器的中位时间约两天，部分不足 24 小时。

初始入口

• 边界设备漏洞：Unit 42 记录其利用 FortiOS / FortiProxy 的 CVE-2024-55591、Erlang/OTP SSH 的 CVE-2025-32433、Windows SMB 客户端 NTLM 反射提权 CVE-2025-33073，以及 CVE-2025-55182，并疑似使用过 0day；
• 凭据类入口：未启用多因素认证的 VPN 账号（Sophos 明确记录「未启用 MFA 使攻击者得以进入」）、泄露或被窃取的凭据、向初始访问代理采购的权限；
• 爆破与钓鱼：凭据爆破与喷洒，以及钓鱼投递。

内网扩散：微软指出其 Go 加密器内置自传播能力，对每台主机依次尝试多达 21 种横向执行方式（PsExec、WMIC、计划任务、Windows 服务、PowerShell 远程、WMI 等），一条成功即完成投放；Sophos 另记录到通过 NETLOGON 共享做全域分发，因此"一夜之间全域被加密"是典型结果。

权限与对抗：以 Mimikatz 转储凭据，通过自研 GentleKiller 框架加载易受攻击驱动（Unit 42 记录到 ThrottleStop.sys，对应 CVE-2025-7771）取得内核权限并终止安全进程；持久化依赖自研 Go 后门、SystemBC、以 Windows 服务形式安装的 Cloudflared 隧道，以及名称形如 gentlemen* 的计划任务。

外传与备份破坏：外传主用 Rclone 与 Restic；投放前系统性停用 Veeam、Backup Exec、SQL Writer 等服务，Sophos 记录到 200 余种命令变体——备份消失通常不是加密的副作用，而是攻击者刻意完成的前置步骤。

算法：Go 版为每个文件生成一对临时 Curve25519 (X25519) 密钥，与内嵌的攻击者公钥协商出共享密钥，再以 XChaCha20 加密文件内容，临时公钥写入文件尾部。私钥用后即丢弃、不落盘，不存在可离线爆破的主密钥。卡巴斯基 2026 年 6 月披露的 C 语言新变种改用 AES-256-GCM 配合 RSA 封装。

分段加密（恢复评估中最关键的一点）：1 MB 以下文件整体加密；超过 1 MB 的文件仅在分散的三个偏移位置加密若干块，档位由命令行参数控制——微软给出的覆盖比例区间约为 0.9%–27%，卡巴斯基记录 --fast 约 9%、--superfast 约 3%、--ultrafast 约 1%，未指定时按默认档位（约 27%）执行。因此大型数据库文件、虚拟磁盘与邮件库中常保留大量未被覆盖的原始数据；但"保留多少"与"能修复多少"是两回事，关键在于文件头、页目录、分区表等结构区域是否落在被加密块内，必须实测。

破坏动作：加密前终止 30 余个进程（虚拟化、数据库、备份、EDR、SAP、Office、邮件、浏览器、远程访问等类别）并停止 50 余项服务以解除文件占用，用 takeown、icacls、attrib 强改属主与属性，并删除卷影副本、清空事件日志。

虚拟化与存储：微软分析的 Go 版仅针对 Windows；卡巴斯基另记录到 C 语言编写的 Linux/ESXi locker。ESXi 环境中被加密的通常是 vmdk 等平面磁盘文件，具体是否先关停虚拟机、覆盖哪些 datastore，需要按现场痕迹判定，不要按单一结论推演。

双重勒索：先外传后加密，未付款则在 Tor 泄露站分批公开。