Decriptador do Ransomware The Gentlemen

O primeiro método de descriptografia disponível publicamente para o ransomware The Gentlemen.

O The Gentlemen (também conhecido como hastalamuerte) é atualmente a operação de ransomware-como-serviço (RaaS) mais ativa globalmente, com 320+ vítimas confirmadas até o primeiro trimestre de 2026. Até agora, todos os principais fornecedores de segurança — Cybereason, Group-IB, Check Point, ASEC, Trend Micro — avaliaram a criptografia como indestrutível criptograficamente. Nenhum descriptografador público existia.

Nós o quebramos.

---

Como Funciona

O The Gentlemen usa criptografia de fluxo XChaCha20 com troca de chaves ECDH X25519. Cada arquivo é criptografado com uma chave única derivada de um par de chaves efêmeras novas. A criptografia é matematicamente sólida — não quebramos a matemática.

Quebramos a implementação.

Go não zera o material de chave criptográfica no heap após o uso (CWE-244). Uma vez que uma chave privada efêmera X25519 é gerada para um arquivo, ela permanece na memória do processo em vez de ser apagada — portanto, um dump do processo vivo recupera as chaves para arquivos já criptografados, muitas vezes em várias cópias deixadas pelo GC. O SO recupera essa memória quando o processo termina.

Um dump de memória do processo vivo, capturado durante ou perto do final da criptografia, normalmente contém as chaves efêmeras para cada arquivo processado até aquele momento — em nossa análise de 35 arquivos, todos eles.

Resultados: 35/35 arquivos descriptografados com 100% de precisão. Todas as 35 chaves recuperadas em 0,6 segundos a partir de um único dump de memória.

---

Para Vítimas

Se você foi atingido pelo ransomware The Gentlemen, pode ser capaz de recuperar arquivos se uma imagem de memória do processo do ransomware foi capturada enquanto ele estava em execução. A recuperação funciona extraindo as chaves privadas efêmeras por arquivo dessa imagem, portanto é melhor esforço e pode ser parcial — apenas arquivos cuja chave já havia sido gerada e ainda estava residente no momento da captura podem ser recuperados.

O que isso significa na prática:

• A chave de cada arquivo é criada no momento em que esse arquivo é criptografado. Uma captura feita no início do ataque contém chaves apenas para os arquivos processados até aquele ponto; uma captura feita perto do final da execução fornece a cobertura mais ampla.
• As chaves residem na memória do processo em execução. Go não zera esse material de chave enquanto o processo está em execução (CWE-244), então um dump do processo vivo geralmente produz as chaves para arquivos já criptografados — geralmente todos eles.
• As chaves são perdidas logo após o processo terminar. Uma vez que o processo do ransomware termina, o sistema operacional recupera sua memória e as chaves desaparecem rapidamente. Uma imagem de memória só ajuda se refletir o processo enquanto estava vivo — uma imagem de disco comum, ou uma captura de RAM feita após a máquina ser reinicializada, quase certamente não as conterá.
• Não há chave mestra ou esqueleto. A chave privada do operador nunca existe no sistema da vítima. A recuperação depende inteiramente das chaves por arquivo estarem fisicamente presentes em sua imagem de memória; sem essa imagem, esta ferramenta não pode recuperar esses arquivos.

Onde uma imagem de memória utilizável pode existir — cada uma só ajuda se capturou o processo enquanto estava em execução:

1. Soluções EDR/XDR — CrowdStrike, SentinelOne, Carbon Black, Microsoft Defender for Endpoint e outras podem capturar a memória do processo quando detectam a ameaça. Verifique seu console EDR por capturas de memória ou snapshots forenses do incidente.
2. Resposta a incidentes — se sua equipe de RI usou procdump, Gerenciador de Tarefas → "Criar arquivo de dump", ou outra ferramenta forense para capturar o processo do ransomware antes de terminá-lo.
3. Relatório de Erros do Windows — se o ransomware falhou, um dump do processo pode existir em C:\ProgramData\Microsoft\Windows\WER\.
4. Dumps de falha do kernel — C:\Windows\Minidump\ e C:\Windows\MEMORY.DMP, se uma verificação de bug ocorreu enquanto o processo estava em execução (apenas dumps de memória completos incluem memória de processo; minidumps geralmente não).
5. Captura completa de RAM — uma imagem forense da RAM do sistema tirada enquanto a máquina ainda estava em execução (WinPmem, Magnet RAM Capture, FTK Imager).
6. Arquivo de hibernação — C:\hiberfil.sys, se o sistema hibernou enquanto o processo do ransomware estava ativo (ele congela um snapshot da RAM naquele momento).

Não tem certeza se algum deles existe para o seu incidente? Entre em contato conosco em [email protected] e podemos ajudá-lo a verificar.

Passos de Recuperação

# 1. Install dependencies
pip install cryptography

# 2. Extract ephemeral public keys from your encrypted files
python extract_keys_from_files.py --input-dir /path/to/encrypted/files --output keys.json

# 3. Search the memory dump for matching private keys
python recover_keys.py --dump process_memory.dmp --pubkeys keys.json --output recovered_keys.json

# 4. Decrypt your files
python decrypt.py --keys recovered_keys.json --input-dir /path/to/encrypted/files --output-dir /path/to/recovered

⚠️ Modo de criptografia parcial (--fast / --superfast / --ultrafast)

O bloqueador The Gentlemen suporta flags de velocidade que realizam criptografia parcial em arquivos maiores que 1 MB. Sob --superfast, apenas ~3% dos bytes em um arquivo grande são criptografados; os ~97% restantes permanecem como texto simples na posição original do disco. Isso é verificado em publicações de RE (ASEC, Trend Micro, Cybereason).

A descriptografia XChaCha20 de corpo inteiro em um arquivo de criptografia parcial CORROMPERIA DUPLICAMENTE as regiões não criptografadas — aplicar XOR de keystream sobre os segmentos de texto simples os transforma em lixo e destrói dados recuperáveis.

Por esta razão, decrypt.py se recusa a processar arquivos maiores que 1 MB por padrão. Se você verificou que o bloqueador funcionou no modo de criptografia completa (apenas arquivos pequenos, ou uma construção sem as flags de velocidade), passe --force-large para substituir.

Para vítimas de criptografia parcial, use ferramentas de recuperação cientes de formato nas regiões não criptografadas:

• CyberArk White Phoenix — Documentos do Office, PDFs (https://github.com/cyberark/White-Phoenix)
• PhotoRec — escavação genérica de arquivos de mídia
• Escavadores específicos de formato — adaptados aos seus tipos de arquivo (SQLite, QuickBooks, etc.)

A Bedrock Safeguard está ativamente realizando engenharia reversa da geometria de deslocamento de bloco do modo de criptografia parcial. Quando esse trabalho for concluído, este descriptografador será atualizado para lidar com segurança com os segmentos parcialmente criptografados.

---

Análise Técnica

Esquema de Criptografia

Per-file encryption:
  1. Generate 32 random bytes              -> ephemeral private key (crypto/rand.Read)
  2. X25519(ephemeral_priv, operator_pub)  -> shared_secret (32 bytes)
  3. XChaCha20(plaintext, shared_secret)   -> ciphertext
  4. Append to file: --eph--<base64(ephemeral_PUBLIC_key)>--marker--GENTLEMEN

A chave privada efêmera é o segredo crítico. Ela existe apenas na memória do processo e nunca é gravada em disco. Mas o alocador de pilha de goroutines do Go não zera a memória quando as variáveis saem de escopo (CWE-244), deixando o material da chave acessível via forense de memória.

Classificação de Vulnerabilidade

ID	Descrição
CWE-244	Limpeza Incorreta da Memória Heap Antes da Liberação
CWE-316	Armazenamento em Texto Claro de Informações Sensíveis na Memória

Método de Recuperação de Chave