Decriptatore del Ransomware The Gentlemen

Il primo metodo di decifratura disponibile pubblicamente per il ransomware The Gentlemen.

The Gentlemen (noto anche come hastalamuerte) è attualmente l'operazione ransomware-as-a-service (RaaS) più attiva a livello globale, con oltre 320 vittime confermate a partire dal primo trimestre 2026. Fino ad ora, ogni grande vendor di sicurezza — Cybereason, Group-IB, Check Point, ASEC, Trend Micro — ha valutato la crittografia come irrimediabile dal punto di vista crittografico. Non esisteva alcun decriptatore pubblico.

Noi l'abbiamo infranto.

Come Funziona

The Gentlemen utilizza la crittografia a flusso XChaCha20 con scambio di chiavi X25519 ECDH. Ogni file è crittografato con una chiave unica derivata da una coppia di chiavi effimere fresche. La crittografia è matematicamente solida — non abbiamo infranto la matematica.

Abbiamo infranto l'implementazione.

Go non azzera il materiale crittografico delle chiavi nell'heap dopo l'uso (CWE-244). Una volta generata una chiave privata X25519 effimera per un file, questa rimane nella memoria del processo invece di essere cancellata — quindi un dump del processo in esecuzione recupera le chiavi per i file già crittografati, spesso in più copie lasciate dal garbage collector. Il sistema operativo recupera questa memoria quando il processo termina.

Un dump di memoria del processo in esecuzione, effettuato durante o verso la fine della crittografia, contiene tipicamente le chiavi effimere per ogni file elaborato fino a quel punto — nella nostra analisi di 35 file, tutte.

Risultati: 35/35 file decifrati con accuratezza al 100%. Tutte le 35 chiavi recuperate in 0,6 secondi da un singolo dump di memoria.

Per le Vittime

Se sei stato colpito dal ransomware The Gentlemen, potresti essere in grado di recuperare i file se è stata acquisita un'immagine di memoria del processo ransomware mentre era in esecuzione. Il recupero funziona estraendo le chiavi private effimere per file da quell'immagine, quindi è un tentativo e può essere parziale — solo i file la cui chiave era già stata generata ed era ancora residente al momento dell'acquisizione possono essere recuperati.

Cosa significa in pratica:

• La chiave di ogni file viene creata nel momento in cui quel file viene crittografato. Un'acquisizione effettuata all'inizio dell'attacco contiene chiavi solo per i file elaborati fino a quel punto; un'acquisizione effettuata verso la fine dell'esecuzione offre la copertura più ampia.
• Le chiavi risiedono nella memoria del processo in esecuzione. Go non azzera questo materiale chiave mentre il processo è in esecuzione (CWE-244), quindi un dump del processo vivo solitamente restituisce le chiavi per i file già crittografati — spesso tutte.
• Le chiavi vengono perse poco dopo la chiusura del processo. Una volta che il processo ransomware termina, il sistema operativo recupera la sua memoria e le chiavi spariscono rapidamente. Un'immagine di memoria aiuta solo se riflette il processo mentre era vivo — un'immagine del disco di routine, o un'acquisizione della RAM effettuata dopo il riavvio della macchina, quasi certamente non le conterrà.
• Non esiste una chiave master o universale. La chiave privata dell'operatore non esiste mai sul sistema vittima. Il recupero dipende interamente dalla presenza fisica delle chiavi per file nell'immagine di memoria; senza tale immagine, questo strumento non può recuperare quei file.

Dove può esistere un'immagine di memoria utilizzabile — ognuna aiuta solo se ha acquisito il processo mentre era in esecuzione:

1. Soluzioni EDR/XDR — CrowdStrike, SentinelOne, Carbon Black, Microsoft Defender for Endpoint e altri possono acquisire la memoria del processo quando rilevano la minaccia. Controlla la console EDR per acquisizioni di memoria o snapshot forensi dell'incidente.
2. Risposta agli incidenti — se il tuo team di risposta agli incidenti ha utilizzato procdump, Task Manager → "Crea file dump" o un altro strumento forense per acquisire il processo ransomware prima di terminarlo.
3. Segnalazione errori di Windows — se il ransomware è andato in crash, potrebbe esistere un dump del processo in C:\ProgramData\Microsoft\Windows\WER\.
4. Dump di crash del kernel — C:\Windows\Minidump\ e C:\Windows\MEMORY.DMP, se si è verificato un bugcheck mentre il processo era in esecuzione (solo i dump di memoria completi includono la memoria del processo; i minidump di solito no).
5. Acquisizione completa della RAM — un'immagine forense della RAM di sistema presa mentre la macchina era ancora in esecuzione (WinPmem, Magnet RAM Capture, FTK Imager).
6. File di ibernazione — C:\hiberfil.sys, se il sistema è stato ibernato mentre il processo ransomware era attivo (congela un'istantanea della RAM in quel momento).

Non sei sicuro che qualcuno di questi esista per il tuo incidente? Contattaci a [email protected] e possiamo aiutarti a verificare.

Passaggi di Recupero

# 1. Install dependencies
pip install cryptography

# 2. Extract ephemeral public keys from your encrypted files
python extract_keys_from_files.py --input-dir /path/to/encrypted/files --output keys.json

# 3. Search the memory dump for matching private keys
python recover_keys.py --dump process_memory.dmp --pubkeys keys.json --output recovered_keys.json

# 4. Decrypt your files
python decrypt.py --keys recovered_keys.json --input-dir /path/to/encrypted/files --output-dir /path/to/recovered

⚠️ Modalità di crittografia parziale (--fast / --superfast / --ultrafast)

Il locker The Gentlemen supporta flag di velocità che eseguono una crittografia parziale su file più grandi di 1 MB. Con --superfast, solo circa il 3% dei byte di un file grande viene crittografato; il restante ~97% rimane in chiaro nella posizione originale sul disco. Questo è verificato in pubblicazioni RE (ASEC, Trend Micro, Cybereason).

La decifratura XChaCha20 completa su un file con crittografia parziale CORROMPEREBBE DOPPIAMENTE le regioni non crittografate — applicare il keystream XOR sui segmenti in chiaro li trasforma in spazzatura e distrugge i dati recuperabili.

Per questo motivo, decrypt.py si rifiuta di elaborare file più grandi di 1 MB per impostazione predefinita. Se hai verificato che il locker è stato eseguito in modalità di crittografia completa (solo file piccoli, o una build senza i flag di velocità), usa --force-large per ignorare.

Per le vittime di crittografia parziale, usa invece strumenti di recupero che riconoscono il formato sulle regioni non crittografate:

• CyberArk White Phoenix — documenti Office, PDF (https://github.com/cyberark/White-Phoenix)
• PhotoRec — carving generico di file multimediali
• Carver specifici per formato — personalizzati per i tuoi tipi di file (SQLite, QuickBooks, ecc.)

Bedrock Safeguard sta attualmente facendo reverse engineering della geometria degli offset dei chunk della modalità di crittografia parziale. Quando quel lavoro sarà completato, questo decriptatore verrà aggiornato per gestire in sicurezza i segmenti parzialmente crittografati.

Analisi Tecnica

Schema di Crittografia

Per-file encryption:
  1. Generate 32 random bytes              -> ephemeral private key (crypto/rand.Read)
  2. X25519(ephemeral_priv, operator_pub)  -> shared_secret (32 bytes)
  3. XChaCha20(plaintext, shared_secret)   -> ciphertext
  4. Append to file: --eph--<base64(ephemeral_PUBLIC_key)>--marRker--GENTLEMEN

La chiave privata effimera è il segreto critico. Esiste solo nella memoria del processo e non viene mai scritta su disco. Ma l'allocatore dello stack delle goroutine di Go non azzera la memoria quando le variabili escono dallo scope (CWE-244), lasciando il materiale chiave accessibile tramite la memoria forense.

Classificazione delle Vulnerabilità

Metodo di Recupero delle Chiavi

1. Acquisire un dump completo della memoria del processo durante la crittografia attiva
2. Scansionare valori di 32 byte a offset allineati a 8 byte
3. Per ogni candidato, calcolare public = X25519(candidate, basepoint)
4. Confrontare con le chiavi pubbliche effimere estratte dai footer dei file crittografati
5. Trovata corrispondenza = chiave privata recuperata per quel file
6. Derivare la chiave di decifratura: shared_secret = X25519(ephemeral_private, operator_public)
7. Decifrare con XChaCha20 usando shared_secret come chiave

Indicatori di Compromissione

Infrastruttura dell'Operatore

Campione Analizzato

Indicatori dei File

Indicatori Comportamentali

• Elimina le copie shadow del volume tramite vssadmin e wmic
• Aggiunge esclusioni di Windows Defender tramite Add-MpPreference
• Elimina i file Prefetch di Windows
• Termina i servizi di database, backup e sicurezza prima di crittografare
• Cambia lo sfondo del desktop in gentlemen.bmp
• Avvia un processo figlio con la variabile d'ambiente LOCKER_BACKGROUND=1
• Flag CLI: --path, --fast, --full, --shares, --silent, --system, -T (ritardo)

Difesa Proattiva

Questa ricerca ha portato allo sviluppo di Bedrock RansomGuard — un servizio Windows open-source che rileva automaticamente la crittografia ransomware e acquisisce la memoria del processo prima che le chiavi vengano distrutte. RansomGuard funziona contro qualsiasi famiglia di ransomware, non solo The Gentlemen.

Lavori Precedenti

Questo lavoro estende il recupero della chiave WannaCry di Adrien Guinet (2017) al ransomware moderno basato su Go che utilizza la crittografia a curve ellittiche. A nostra conoscenza, questa è la prima applicazione pubblicata del recupero della chiave effimera X25519 dalla memoria forense contro qualsiasi famiglia di ransomware.

Divulgazione Responsabile

• Il Canadian Centre for Cyber Security (CCCS) e l'RCMP NC3 sono stati informati di questi risultati.
• Questa pubblicazione contiene solo informazioni difensive. Nessun dato delle vittime è incluso.
• I dettagli dello schema di crittografia pubblicati qui sono già noti agli operatori — pubblicarli non fornisce alcun vantaggio offensivo.

Licenza

Questo progetto è concesso in licenza con Business Source License 1.1 — gratuito per tutti gli usi non commerciali, uso aziendale interno, risposta agli incidenti e ricerca accademica.

Informazioni

Bedrock Safeguard Inc. è un'azienda canadese di intelligence per la cybersicurezza specializzata in analisi dell'infrastruttura degli attori delle minacce, reverse engineering di malware e digital forensics. Questa ricerca è stata condotta come parte della nostra missione di proteggere organizzazioni e individui canadesi dalle minacce ransomware.

bedrocksafe.ca

Se sei una vittima del ransomware The Gentlemen e hai bisogno di assistenza per il recupero delle chiavi, contattaci a [email protected].