夜雨聆风近日，一家名为The Gentlemen的勒索软件组织引发了全球网络安全界的震动。根据瑞士网络安全公司 PRODAFT 及微软、Check Point 等多家机构的联合分析，这个2025年3月才浮出水面的黑客团伙，截至2026年4月已声称攻陷478个受害者，且其开发的恶意软件具备像蠕虫一样在网络中自我复制传播的恐怖能力。
01
从“打工仔”到“自立门户”
The Gentlemen 的起源颇具戏剧性。该组织的头目是一名俄语黑客，绰号 LARVA-368，此人曾在 LockBit、Qilin、Medusa 等多个知名勒索软件即服务（RaaS）团伙中担任附属成员（即 affiliate，负责实施攻击并分成）。
然而，2025年7月，LARVA-368 与 Qilin 团伙发生支付纠纷，他公开指控 Qilin 进行“退出骗局”，私吞了其4.8万美元的佣金。此后，他决定单飞，创立了名为 The Gentlemen 的独立勒索平台。
有趣的是，LARVA-368 被曝极度依赖人工智能——无论是开发勒索软件、维护工具，还是进行渗透后的操作，AI 都扮演了核心角色。
02
技术炸裂：能“蠕虫化”传播，还能“擦除”证据
微软将该团伙的活动追踪为 Storm-2697。其勒索软件最大的特点是：支持--spread 参数。一旦启用，程序会从单机加密器摇身一变，成为一只能自我复制的蠕虫，自动扫描内网并尝试感染所有可达设备。
更令人胆寒的是，如果再加上 --wipe 参数，它会在加密完成后彻底擦除磁盘中可用于恢复的痕迹，让受害者几乎无法通过常规手段找回数据。
此外，该团伙还频繁利用已知的漏洞攻击边缘设备（如 Cisco、Fortinet 防火墙、VMware 虚拟机管理平台），并通过BYOVD（自带易受攻击驱动程序）技术杀死终端防护软件。
03
暴利的“生意经”：九一分账，只收“投名状”
为了迅速扩大规模，The Gentlemen 采取了极具诱惑力的利润分配模式：90% 的赎金归攻击者（附属成员），团伙头目只拿 10%。这远高于许多传统 RaaS 的分成比例。
同时，为了防止安全研究员或执法人员混入，该团伙设置了“投名状”机制：任何想成为附属成员的人，必须先提交至少 1GB 从受害者处窃取的真实数据，才能获得访问其附属面板的权限。
04
内部数据泄露：3千多条聊天记录曝光
2026年4月底，该团伙内部使用的 Rocket.Chat 数据库意外泄露（包含2025年11月至2026年4月间的3,366条消息），揭开了其组织架构的神秘面纱：成员分工明确，有人负责技术开发，有人负责谈判，有人负责数据泄露站点维护。
攻击流程通常持续2到6周：从利用 VPN 设备漏洞或弱口令突破边界，到使用 Velociraptor 等红队工具进行横向移动，再到最后部署勒索软件，整个过程行云流水。
05
全球受害分布：美国仅占13%
尽管多数人的印象中勒索软件重灾区是美国，但 The Gentlemen 的受害者分布却出人意料：仅有约13% 在美国。大部分受害者集中在泰国、英国、巴西、德国和印度。这说明该团伙并非专门针对某个国家，而是寻找防御薄弱、能支付赎金的企业。
The Gentlemen 的崛起，标志着勒索软件生态的一次进化：AI 赋能开发、蠕虫式主动传播、极端分成比例吸引人才、严格的会员审核机制。这个由一名俄罗斯“弃将”创立的犯罪品牌，已成为全球网络安全防御者眼中最危险的对手之一。
对企业而言，及时修补已知漏洞、加强端点检测与响应（EDR）能力、定期隔离备份，仍是抵御此类威胁的唯一有效手段。
资讯来源：PRODAFT、微软安全威胁情报、Check Point、NCC Group、ZeroFox、Hunt.io 及 KrebsOnSecurity 相关公开报告
球分享
球点赞
球在看
