The Gentlemen
The Gentlemen, 9 Eyl 2025 tarihinden bu yana sızıntı sitesinde 1.253 kurumu ilan etti.
Aylık ilan
- Toplam ilan
- 1.253
- İlk ilan
- 9 Eyl 2025
- Son ilan
- 5 Kas 2026
- MITRE ATT&CK tekniği
- 56
The Gentlemen, Temmuz–Ağustos 2025’te ortaya çıkan bir RaaS grubudur; iş ortaklarına %90 gelir payı sunarak ve Windows, Linux, NAS ve BSD sistemlerine karşı Go tabanlı bir kilitleme yazılımı kullanarak 17’den fazla ülkede hızla 320’den fazla kurban yaratmıştır; 2026 yılında ele geçirilen bir C2 sunucusu, 1.570'den fazla bağlantılı kurbanın varlığını ortaya çıkardı.
Son 12 ayda 1.186 ilan verdi; en yoğun ay Ekim 2026 oldu (290 ilan).
Grup 1 zararlı yazılım ailesiyle ilişkilendirildi.
Diğer adları: Storm-2697
En çok hedeflenen ülke Amerika Birleşik Devletleri: 281 ilan, toplamın %22 kadarı.
En çok hedeflenen sektör İmalat: 236 ilan, toplamın %19 kadarı.
Hedef aldığı ülkeler
Hedef aldığı sektörler
1.253 sonucun 10 tanesi gösteriliyor
Grubun saldırılarında 12 aşamaya yayılan 56 MITRE ATT&CK tekniği belgelendi.
- 1
İlk erişim
Kurum ağına ilk giriş yapılır.
T1078Valid AccountsT1078.002Valid Accounts: Domain AccountsT1133External Remote ServicesT1190Exploit Public-Facing ApplicationT1566Phishing - 2
Çalıştırma
Zararlı kod hedef sistemde çalıştırılır.
T1047Windows Management InstrumentationT1059Command and Scripting InterpreterT1059.001Command and Scripting Interpreter: PowerShellT1059.003Command and Scripting Interpreter: Windows Command ShellT1072Software Deployment Tools - 3
Kalıcılık
Yeniden başlatma ve parola değişikliğinden sonra da erişim korunur.
T1136Create AccountT1543Create or Modify System ProcessT1547Boot or Logon Autostart Execution - 4
Yetki yükseltme
Daha yüksek yetkili hesaplara geçilir.
T1068Exploitation for Privilege EscalationT1187Forced AuthenticationT1557Adversary-in-the-Middle - 5
Savunmadan kaçınma
Güvenlik yazılımları ve kayıtlar atlatılır.
T1027Obfuscated Files or InformationT1070Indicator RemovalT1090ProxyT1112Modify RegistryT1484.001Domain Policy Modification: Group Policy ModificationT1562Impair DefensesT1562.001Impair Defenses: Disable or Modify Tools - 6
Kimlik bilgisi erişimi
Parola, jeton ve oturum bilgileri ele geçirilir.
T1003OS Credential DumpingT1110Brute ForceT1552Unsecured CredentialsT1555Credentials from Password Stores - 7
İç keşif
Ağdaki sistemler, hesaplar ve veriler haritalanır.
T1018Remote System DiscoveryT1046Network Service DiscoveryT1069Permission Groups DiscoveryT1087Account DiscoveryT1087.002Account Discovery: Domain AccountT1482Domain Trust DiscoveryT1526Cloud Service Discovery - 8
Yanal hareket
Ağ içinde başka sistemlere geçilir.
T1021Remote ServicesT1021.001Remote Services: Remote Desktop ProtocolT1021.002Remote Services: SMB/Windows Admin SharesT1021.004Remote Services: SSHT1563Remote Service Session Hijacking - 9
Veri toplama
Sızdırılacak veriler seçilir ve bir araya getirilir.
T1005Data from Local SystemT1039Data from Network Shared DriveT1074Data StagedT1074.001Data Staged: Local Data StagingT1114Email Collection - 10
Komuta ve kontrol
Ele geçirilen sistemlerle uzaktan iletişim kurulur.
T1071Application Layer ProtocolT1071.001Application Layer Protocol: Web ProtocolsT1219Remote Access SoftwareT1572Protocol TunnelingT1573Encrypted Channel - 11
Veri sızdırma
Veriler kurum dışına çıkarılır; ilandaki yayımlama tehdidi bu veriye dayanır.
T1048Exfiltration Over Alternative ProtocolT1048.001Exfiltration Over Alternative Protocol: Exfiltration Over Symmetric Encrypted Non-C2 ProtocolT1537Transfer Data to Cloud Account - 12
Etki
Sistemler şifrelenir ya da hizmet durdurulur.
T1486Data Encrypted for ImpactT1489Service StopT1490Inhibit System RecoveryT1491Defacement
Grup 1 zararlı yazılım ailesiyle ilişkilendirildi.
Zararlı yazılım ailesi
- Gentlemen
Bu aktör hakkında yayımlanmış raporlar:
- https://socradar.io/blog/dark-web-profile-the-gentlemen-ransomware/
- https://www.trendmicro.com/en_us/research/25/i/unmasking-the-gentlemen-ransomware.html
- https://www.cybereason.com/blog/the-gentlemen-ransomware
Kaynak: MISP Galaxy, Malpedia.
Fidye grubu ne yapar?
Fidye yazılımı grupları kurum ağına sızar, veriyi kurum dışına çıkarır ve sistemleri şifreler. Ödeme yapılmazsa kurumu sızıntı sitesinde ilan eder ve veriyi yayımlamakla tehdit eder.
The Gentlemen kurumlara nasıl giriyor?
Kurum ağına ilk giriş yapılır.
- T1078 · Valid Accounts
- T1078.002 · Valid Accounts: Domain Accounts
- T1133 · External Remote Services
- T1190 · Exploit Public-Facing Application
- T1566 · Phishing
Hangi önlemler öne çıkıyor?
Belgelenen tekniklere göre öncelikli önlemler:
- İnternete açık VPN, uzak masaüstü ve güvenlik duvarı arayüzlerini güncel tutun; bu hesaplarda çok adımlı doğrulamayı zorunlu kılın.
- Betik ve makro çalıştırmayı yalnız ihtiyacı olan kullanıcılara açın; uç nokta korumasında davranış kurallarını etkin tutun.
- Yeni oluşturulan hizmetleri, zamanlanmış görevleri ve başlangıç kayıtlarını izleyin.
- Yerel yönetici hesaplarını azaltın; ayrıcalıklı işlemleri ayrı ve izlenen hesaplarla yapın.
- Güvenlik yazılımının kapatılmasını ve kayıtların silinmesini alarm olarak tanımlayın.
- Çalışan parolalarının ve oturum çerezlerinin infostealer kayıtlarında görünüp görünmediğini düzenli kontrol edin.
- Kısa sürede çok sayıda sorgu yapan hesapları ve olağandışı ağ taramalarını izleyin.
- Ağı bölümlere ayırın; yönetim protokollerini yalnız yönetim ağından erişilebilir tutun.
- Büyük hacimli dosya arşivleme işlemlerini izleyin.
- Uzaktan yönetim araçlarının onaysız kullanımını engelleyin.
- Bulut depolama ve dosya aktarım hizmetlerine giden olağandışı veri hacmini izleyin.
- Ağdan ayrılmış, değiştirilemez yedek tutun ve geri yüklemeyi düzenli olarak deneyin.
Kurumunuz bir sızıntı sitesinde ilan edilirse ne yapmalısınız?
- İlanı ve yayımlanan örnek dosyaları kayıt altına alın; ilan sitesine kurum ağından erişmeyin.
- Etkilenen sistemleri ağdan ayırın ve kayıtları silmeden koruyun.
- Hangi verinin kurum dışına çıktığını belirleyin; kişisel veri varsa bildirim yükümlülüğünü hukuk ekibinizle değerlendirin.
- Fidye talebiyle ilgili kararı hukuk, yönetim ve olay müdahale ekibiyle birlikte verin.
- Saldırganın girdiği yolu kapatmadan sistemleri yeniden devreye almayın.
Kurumunuzun adı geçiyor mu?
Alan adınızla arama yaparak fidye ilanlarında, sızan kayıtlarda, forumlarda ve Telegram kanallarında görünüp görünmediğinizi kontrol edin.
Alan adınızla arayınIntelligence 360
Infostealer Detection'ın üstüne müşteri istihbaratı: sitenize giriş yapan son kullanıcıların sızan hesapları da görünür.