The Gentlemen

The Gentlemen は、Microsoft が Storm-2697、Sophos CTU が GOLD SHERWOOD として追跡する RaaS（Ransomware-as-a-Service）運営グループです[s3][s4]。2025年半ばごろに登場し、当初はクローズドなランサムウェアグループでしたが、2025年9月にアフィリエイト募集を始めました[s4]。Sophos によれば、同月に被害組織名を掲載する専用リークサイトが開設され、RAMP フォーラムには身代金の 90/10 配分をうたう募集広告が出ました[s3]。Unit 42 は、運営者（約20人とされる）が9月ごろ非公開の組織から RaaS 型へ移行したとし、一般的な 70〜80% に対し 90% という配分は異例だと指摘しています[s5]。同社は、運営者が Qilin の RaaS でアフィリエイト（ArmCorp）として活動していた可能性にも言及しています[s5]。RansomLook の記録では初出は 2025-09-09、連絡手段は tox で、ハンドルは F8E24C7F5B12CD69C44C73F438F65E9BF560ADF35EBBDF92CF9A9B84079F8F04060FF98D098E です。

初期侵入は、ファイアウォールや VPN など境界機器の脆弱性の悪用、ブルートフォース、漏えい・窃取された認証情報、初期アクセスブローカーとの連携と、多岐にわたります[s5]。Group-IB は、FortiGate の管理インターフェースを狙う CVE-2024-55591 の偵察を報告し、流出したチャットログからは各種 VPN で窃取認証情報を試す様子が確認されたとされています[s3]。Sophos が調べた2月の事案では、MFA 未導入の Fortinet SSL VPN に正規の認証情報でログインし、RDP で複数の内部システムへ横展開しました[s3]。ツールは C:\PerfLogs に配置され、探索には Advanced IP Scanner や SoftPerfect Network Scanner、データ持ち出しには Rclone（5件で確認）、Restic、MinIO Client、MEGAsync、FileZilla が使われました[s3][s5]。永続化には Cloudflared のサービス化、Datto RMM、RDP の有効化と 3389 ポートの開放が観測されています[s3]。防御回避では BYOVD 方式の EDR キラーを使い、ESET が GentleKiller と呼ぶ独自ツール群をアフィリエイトに提供しているとされます[s3]。ランサムウェア本体は Go 製で Garble により難読化され、ファイルごとに Curve25519 の一時鍵と XChaCha20 を使います[s4]。さらに複数の横展開手段で自己増殖し、Defender の無効化、シャドウコピーとイベントログの削除も行います[s4]。Unit 42 は C 言語版も存在すると述べ、ESXi を含む仮想基盤への展開に触れています[s5]。脅迫は暗号化に加え、窃取情報の公開を示唆する二重脅迫です[s3][s4]。

被害は特定業種に偏らず、アクセスが得られた組織を狙う日和見的な傾向だと Sophos は評価しています[s3]。Microsoft は教育、運輸、医療、金融で、北米、南米、欧州、アフリカ、アジアに及ぶ被害を確認しています[s4]。ransomware.live の集計では、7月7日までに77か国で580件が主張され、うち製造業が103件でした[s5]。Sophos の集計では、2026年7月末までにリークサイトへ683件が掲載されました[s3]。

投稿数は2025年末までは月20件未満でしたが、2026年初頭に月75件超へ増え、7月だけで169件に達しました[s3]。Unit 42 によると、2026年上半期の主張件数は2025年後半の6倍強で、2026年6月の117件が当時の最多です[s5]。同社は、2026年の被害件数で第2位の RaaS だと位置づけています[s5]。2026年5月には BreachForums と提携し、ペネトレーションテスターや初期アクセスブローカーを募ると発表しました[s4][s5]。同月には内部データベースが内部関係者とされる人物によって流出しています[s5]。Unit 42 は、カスタム Go 製バックドア、GentleKiller、未特定のゼロデイ悪用の疑いも挙げています[s5]。