Reddit

The Gentlemen: A closer look at a not-so-gentle ransomware-as-a-service operation

The Gentlemen: 만만치 않은 랜섬웨어 서비스 조직의 실체

The Gentlemen은 Windows, Linux, NAS, BSD를 공격하는 러시아어권 랜섬웨어 서비스 조직으로, 2026년 중반까지 피해자 800곳 이상을 주장했습니다. 유출된 내부 자료와 악성코드 분석은 제휴망과 공격 절차를 드러내며, 취약한 커널 드라이버를 악용해 보안 프로세스를 종료하는 도구도 확인했습니다.

에디터 노트

이 분석에서 방어 관점으로 가장 직접적인 쟁점은 취약 드라이버를 이용한 프로세스 종료입니다. 정상 제품의 커널 드라이버가 인증 없이 프로세스를 끝내는 인터페이스를 제공하면 사용자 모드 EDR만으로 막기 어렵고, 드라이버 취약점 패치와 비인가 드라이버 로딩 감시가 구체적인 대응으로 이어집니다. 피해자 800곳 이상과 월 100곳 이상이라는 규모는 조직이 주장한 수치이며 독립 집계와는 구분해야 합니다. Reddit에 실린 댓글도 Acronis가 연구 내용을 홍보한 글 하나뿐이라 별도의 검증이나 현장 반론은 담기지 않았습니다. 기술 분석은 실행 인수, 지속성, 암호화와 전파 절차를 상세히 제시하지만 그 수치와 조직 간 연계 주장은 유출 자료를 해석한 연구 결과로 읽어야 합니다.

AI 요약

The Gentlemen은 2025년 중반 등장한 러시아어권 랜섬웨어 서비스(RaaS) 조직입니다. LockBit과 Qilin 같은 기존 조직의 제휴자로 활동하다가 2025년 7~8월 자체 랜섬웨어를 배포하기 시작했습니다. 제휴자에게 몸값 수익의 최대 90%를 배분한다고 홍보하며, 2026년 중반까지 피해자 800곳 이상을 주장했습니다. 피해가 자주 보고된 지역은 미국과 유럽이고, 제조업, 기술, 의료, 전문 서비스, 소매업 등이 주요 표적입니다. 독립국가연합(CIS) 지역 공격은 제휴자에게 금지한다고 합니다.

내부 자료 유출과 조직 정보

2026년 5월 조직 내부 인프라가 침해되면서 내부 대화, 몸값 협상, 제휴자 정보, 도구 개발 및 배포 논의가 유출됐습니다. 연구진은 이 자료로 조직 구조와 피해자 선정, 인프라, 제휴자 관계를 분석했습니다. 자료는 The Gentlemen 지도부와 Qilin 생태계의 연관성을 뒷받침하는 근거도 제공했습니다.

랜섬웨어의 동작

분석 대상은 Go로 작성된 64비트 Windows 실행 파일입니다. 실행에는 샘플에 하드코딩된 암호와 일치하는 --password 인수가 필요합니다. 악성코드는 Windows Defender 실시간 감시를 끄고 C 드라이브와 자기 프로세스를 제외 목록에 추가합니다. 이벤트 로그와 PowerShell 명령 기록을 지우고, 데이터베이스, 가상화, 보안, 백업 제품 등의 프로세스와 서비스를 종료합니다. UpdateSystem 및 UpdateUser 작업 스케줄러 항목이나 HKLM, HKCU의 Run 레지스트리 항목으로 재실행을 유지합니다.

암호화 전에는 볼륨 섀도 복사본을 삭제하고 Windows 방화벽을 끕니다. PowerShell과 WMIC로 드라이브를 찾으며, --shares 또는 --full 옵션을 주면 연결된 네트워크 공유도 탐색합니다. --spread 옵션은 도메인 컨트롤러와 네트워크 컴퓨터를 찾고 PsExec으로 다른 시스템에 랜섬웨어를 복사해 실행합니다. 파일은 ChaCha20으로 암호화하고 파일별 32바이트 키와 12바이트 nonce를 생성합니다. 공개키를 이용한 타원곡선 암호화로 키를 보호합니다. 1MB 미만 파일은 전체를 암호화하며, 큰 파일은 여러 구간으로 나눠 일부만 암호화합니다. 빠른 암호화 모드에 따라 파일 크기의 0.3%, 1%, 3%를 암호화하는 설정이 있으며, 큰 파일 기본 모드는 약 9%입니다. 암호화된 파일에는 .cyvzca 같은 확장자를 붙입니다.

취약 드라이버를 이용한 보안 도구 종료

최근 사고에서 확인된 드로퍼는 취약한 Safetica ProcessMonitor와 Lenovo BootRepair.sys 드라이버를 설치합니다. 프로세스 목록에서 표적을 찾은 뒤 드라이버의 IOCTL 인터페이스에 프로세스 ID를 전달해 종료합니다. Safetica 드라이버 취약점은 CVE-2025-70795로 추적됩니다. Lenovo 드라이버도 인증 없이 커널 모드에서 프로세스를 종료할 수 있는 인터페이스를 노출합니다. 이는 취약한 정상 드라이버를 악용해 보안 제품을 무력화하는 BYOVD 방식입니다.

유출 사이트와 대응 권고

조직의 유출 사이트는 피해자별 설명과 협상 시간을 표시하고, 탈취한 파일을 내려받을 수 있는 폴더를 제공합니다. 몸값을 내지 않으면 데이터가 공개됐다는 상태도 표시합니다. 대응 권고는 보안 도구 변조와 드라이버 설치 감시, 운영체제와 제3자 드라이버 패치, PowerShell 및 원격 관리 도구 통제, 격리된 백업, 최소 권한과 네트워크 분할입니다.

Reddit 반응

  • @acronis — 저희 Threat Research Unit이 2025년 중반 등장한 러시아어권 랜섬웨어 서비스 조직 The Gentlemen을 분석했습니다. 이 조직은 LockBit과 Qilin 같은 기존 조직에서 제휴자들이 갈라져 나온 뒤 등장한 것으로 알려졌습니다. 연구에서 눈에 띈 점은 다음과 같습니다. 제휴자에게 몸값 수익의 최대 90%를 제안하는데, RaaS 기준으로도 공격적인 비율입니다. 미국과 유럽을 중심으로 피해자 800곳 이상을 주장해 올해 주요 RaaS 조직 중 하나가 됐습니다. Windows, Linux, NAS, BSD를 겨냥하는 멀티플랫폼 변종을 사용합니다. EDR 무력화 도구도 적극적으로 사용하며, 최근 한 사건에서는 취약한 Safetica ProcessMonitor와 Lenovo BootRepair.sys 드라이버를 악용하는 맞춤형 드로퍼가 발견됐습니다. 조직 자체 인프라가 침해되면서 연구진은 제휴망과 도구, 더 넓은 랜섬웨어 생태계와의 관계를 드물게 들여다볼 수 있었습니다. IOC와 제휴자 정보를 더 살펴볼 분들을 위해 전체 기술 분석을 아래에 연결했습니다. [Acronis 원문 링크] 원문: Acronis / 번역·요약: Trawling
원문 보기 ↗토론 보기 ↗