Decriptador do Ransomware The Gentlemen

O primeiro método de descriptografia disponível publicamente para o ransomware The Gentlemen.

O The Gentlemen (também conhecido como hastalamuerte) é atualmente a operação de ransomware-como-serviço (RaaS) mais ativa globalmente, com 320+ vítimas confirmadas até o primeiro trimestre de 2026. Até agora, todos os principais fornecedores de segurança — Cybereason, Group-IB, Check Point, ASEC, Trend Micro — avaliaram a criptografia como indestrutível criptograficamente. Nenhum descriptografador público existia.

Nós o quebramos.

Como Funciona

O The Gentlemen usa criptografia de fluxo XChaCha20 com troca de chaves ECDH X25519. Cada arquivo é criptografado com uma chave única derivada de um par de chaves efêmeras novas. A criptografia é matematicamente sólida — não quebramos a matemática.

Quebramos a implementação.

Go não zera o material de chave criptográfica no heap após o uso (CWE-244). Uma vez que uma chave privada efêmera X25519 é gerada para um arquivo, ela permanece na memória do processo em vez de ser apagada — portanto, um dump do processo vivo recupera as chaves para arquivos já criptografados, muitas vezes em várias cópias deixadas pelo GC. O SO recupera essa memória quando o processo termina.

Um dump de memória do processo vivo, capturado durante ou perto do final da criptografia, normalmente contém as chaves efêmeras para cada arquivo processado até aquele momento — em nossa análise de 35 arquivos, todos eles.

Resultados: 35/35 arquivos descriptografados com 100% de precisão. Todas as 35 chaves recuperadas em 0,6 segundos a partir de um único dump de memória.

Para Vítimas

Se você foi atingido pelo ransomware The Gentlemen, pode ser capaz de recuperar arquivos se uma imagem de memória do processo do ransomware foi capturada enquanto ele estava em execução. A recuperação funciona extraindo as chaves privadas efêmeras por arquivo dessa imagem, portanto é melhor esforço e pode ser parcial — apenas arquivos cuja chave já havia sido gerada e ainda estava residente no momento da captura podem ser recuperados.

O que isso significa na prática:

• A chave de cada arquivo é criada no momento em que esse arquivo é criptografado. Uma captura feita no início do ataque contém chaves apenas para os arquivos processados até aquele ponto; uma captura feita perto do final da execução fornece a cobertura mais ampla.
• As chaves residem na memória do processo em execução. Go não zera esse material de chave enquanto o processo está em execução (CWE-244), então um dump do processo vivo geralmente produz as chaves para arquivos já criptografados — geralmente todos eles.
• As chaves são perdidas logo após o processo terminar. Uma vez que o processo do ransomware termina, o sistema operacional recupera sua memória e as chaves desaparecem rapidamente. Uma imagem de memória só ajuda se refletir o processo enquanto estava vivo — uma imagem de disco comum, ou uma captura de RAM feita após a máquina ser reinicializada, quase certamente não as conterá.
• Não há chave mestra ou esqueleto. A chave privada do operador nunca existe no sistema da vítima. A recuperação depende inteiramente das chaves por arquivo estarem fisicamente presentes em sua imagem de memória; sem essa imagem, esta ferramenta não pode recuperar esses arquivos.

Onde uma imagem de memória utilizável pode existir — cada uma só ajuda se capturou o processo enquanto estava em execução:

1. Soluções EDR/XDR — CrowdStrike, SentinelOne, Carbon Black, Microsoft Defender for Endpoint e outras podem capturar a memória do processo quando detectam a ameaça. Verifique seu console EDR por capturas de memória ou snapshots forenses do incidente.
2. Resposta a incidentes — se sua equipe de RI usou procdump, Gerenciador de Tarefas → "Criar arquivo de dump", ou outra ferramenta forense para capturar o processo do ransomware antes de terminá-lo.
3. Relatório de Erros do Windows — se o ransomware falhou, um dump do processo pode existir em C:\ProgramData\Microsoft\Windows\WER\.
4. Dumps de falha do kernel — C:\Windows\Minidump\ e C:\Windows\MEMORY.DMP, se uma verificação de bug ocorreu enquanto o processo estava em execução (apenas dumps de memória completos incluem memória de processo; minidumps geralmente não).
5. Captura completa de RAM — uma imagem forense da RAM do sistema tirada enquanto a máquina ainda estava em execução (WinPmem, Magnet RAM Capture, FTK Imager).
6. Arquivo de hibernação — C:\hiberfil.sys, se o sistema hibernou enquanto o processo do ransomware estava ativo (ele congela um snapshot da RAM naquele momento).

Não tem certeza se algum deles existe para o seu incidente? Entre em contato conosco em [email protected] e podemos ajudá-lo a verificar.

Passos de Recuperação

# 1. Install dependencies
pip install cryptography

# 2. Extract ephemeral public keys from your encrypted files
python extract_keys_from_files.py --input-dir /path/to/encrypted/files --output keys.json

# 3. Search the memory dump for matching private keys
python recover_keys.py --dump process_memory.dmp --pubkeys keys.json --output recovered_keys.json

# 4. Decrypt your files
python decrypt.py --keys recovered_keys.json --input-dir /path/to/encrypted/files --output-dir /path/to/recovered

⚠️ Modo de criptografia parcial (--fast / --superfast / --ultrafast)

O bloqueador The Gentlemen suporta flags de velocidade que realizam criptografia parcial em arquivos maiores que 1 MB. Sob --superfast, apenas ~3% dos bytes em um arquivo grande são criptografados; os ~97% restantes permanecem como texto simples na posição original do disco. Isso é verificado em publicações de RE (ASEC, Trend Micro, Cybereason).

A descriptografia XChaCha20 de corpo inteiro em um arquivo de criptografia parcial CORROMPERIA DUPLICAMENTE as regiões não criptografadas — aplicar XOR de keystream sobre os segmentos de texto simples os transforma em lixo e destrói dados recuperáveis.

Por esta razão, decrypt.py se recusa a processar arquivos maiores que 1 MB por padrão. Se você verificou que o bloqueador funcionou no modo de criptografia completa (apenas arquivos pequenos, ou uma construção sem as flags de velocidade), passe --force-large para substituir.

Para vítimas de criptografia parcial, use ferramentas de recuperação cientes de formato nas regiões não criptografadas:

• CyberArk White Phoenix — Documentos do Office, PDFs (https://github.com/cyberark/White-Phoenix)
• PhotoRec — escavação genérica de arquivos de mídia
• Escavadores específicos de formato — adaptados aos seus tipos de arquivo (SQLite, QuickBooks, etc.)

A Bedrock Safeguard está ativamente realizando engenharia reversa da geometria de deslocamento de bloco do modo de criptografia parcial. Quando esse trabalho for concluído, este descriptografador será atualizado para lidar com segurança com os segmentos parcialmente criptografados.

Análise Técnica

Esquema de Criptografia

Per-file encryption:
  1. Generate 32 random bytes              -> ephemeral private key (crypto/rand.Read)
  2. X25519(ephemeral_priv, operator_pub)  -> shared_secret (32 bytes)
  3. XChaCha20(plaintext, shared_secret)   -> ciphertext
  4. Append to file: --eph--<base64(ephemeral_PUBLIC_key)>--marker--GENTLEMEN

A chave privada efêmera é o segredo crítico. Ela existe apenas na memória do processo e nunca é gravada em disco. Mas o alocador de pilha de goroutines do Go não zera a memória quando as variáveis saem de escopo (CWE-244), deixando o material da chave acessível via forense de memória.

Classificação de Vulnerabilidade

Método de Recuperação de Chave

1. Capture um dump completo de memória do processo durante a criptografia ativa
2. Escaneie por valores de 32 bytes em deslocamentos alinhados a 8 bytes
3. Para cada candidato, compute public = X25519(candidate, basepoint)
4. Compare com as chaves públicas efêmeras extraídas dos rodapés dos arquivos criptografados
5. Correspondência encontrada = chave privada recuperada para aquele arquivo
6. Derive a chave de descriptografia: shared_secret = X25519(ephemeral_private, operator_public)
7. Descriptografe com XChaCha20 usando shared_secret como chave

Indicadores de Comprometimento

Infraestrutura do Operador

Amostra Analisada

Indicadores de Arquivo

Indicadores Comportamentais

• Exclui cópias de sombra de volume via vssadmin e wmic
• Adiciona exclusões do Windows Defender via Add-MpPreference
• Exclui arquivos Prefetch do Windows
• Mata serviços de banco de dados, backup e segurança antes de criptografar
• Altera o papel de parede da área de trabalho para gentlemen.bmp
• Gera processo filho com variável de ambiente LOCKER_BACKGROUND=1
• Flags de CLI: --path, --fast, --full, --shares, --silent, --system, -T (atraso)

Defesa Proativa

Esta pesquisa levou ao desenvolvimento do Bedrock RansomGuard — um serviço Windows de código aberto que detecta automaticamente a criptografia de ransomware e captura a memória do processo antes que as chaves sejam destruídas. O RansomGuard funciona contra qualquer família de ransomware, não apenas o The Gentlemen.

Trabalhos Relacionados

Este trabalho estende a recuperação de chave do WannaCry de Adrien Guinet (2017) para ransomware moderno baseado em Go usando criptografia de curva elíptica. Até onde sabemos, esta é a primeira aplicação publicada de recuperação de chave efêmera X25519 a partir de forense de memória contra qualquer família de ransomware.

Divulgação Responsável

• O Centro Canadense de Segurança Cibernética (CCCS) e o RCMP NC3 foram notificados dessas descobertas.
• Esta publicação contém apenas informações defensivas. Nenhum dado de vítima está incluído.
• Os detalhes do esquema de criptografia publicados aqui já são conhecidos pelos operadores — publicá-los não fornece vantagem ofensiva.

Licença

Este projeto está licenciado sob a Business Source License 1.1 — gratuito para todos os usos não comerciais, uso interno empresarial, resposta a incidentes e pesquisa acadêmica.

Sobre

Bedrock Safeguard Inc. é uma empresa canadense de inteligência em segurança cibernética especializada em análise de infraestrutura de atores de ameaças, engenharia reversa de malware e forense digital. Esta pesquisa foi conduzida como parte de nossa missão de proteger organizações e indivíduos canadenses contra ameaças de ransomware.

bedrocksafe.ca

Se você é uma vítima do ransomware The Gentlemen e precisa de assistência com a recuperação de chave, entre em contato conosco em [email protected].