Nouveaux venus audacieux : comment le gang de ransomware "The Gentlemen" a fait irruption dans la cour des grands

Tout a commencé par un murmure sur les forums du dark web : un nouveau gang de ransomware, au nom étrangement poli, mais impitoyable dans ses actions. En quelques mois, "The Gentlemen" sont passés de l’obscurité à l’infamie, bouleversant le monde de la cybercriminalité et laissant les équipes de sécurité courir derrière eux. Leur ascension n’est pas seulement rapide - elle est presque sans précédent, et les enjeux sont mondiaux.

La méthode des Gentlemen est à la fois familière et terriblement raffinée. Opérant comme un service de ransomware (RaaS) depuis la mi-2025, ils ont rapidement dépassé de nombreux groupes vétérans. En neuf mois, ils ont dépassé les 150 victimes confirmées - un cap que des rivaux comme DragonForce ont mis près de deux ans à atteindre. Leur arsenal est bien fourni : ils utilisent SystemBC, un malware proxy furtif, pour établir des canaux secrets, et emploient Cobalt Strike pour le commandement et le contrôle - malgré la baisse de popularité de cet outil face aux défenses modernes.

Mais ce qui les distingue vraiment, c’est leur ciblage chirurgical et leur mode de déploiement. Plutôt que de mener des attaques dispersées contre des particuliers, The Gentlemen visent les réseaux d’entreprises et d’institutions. Une fois à l’intérieur, ils utilisent la stratégie de groupe d’Active Directory - une fonctionnalité conçue pour l’administration informatique - pour déclencher simultanément le ransomware dans toute l’organisation. Leur code, écrit dans le langage polyvalent GO, est en développement constant, incluant une variante spécifiquement conçue pour paralyser les serveurs VMware ESXi, échappant à la plupart des antivirus.

Cette maîtrise technique s’accompagne d’un sens aigu des affaires. En offrant aux affiliés une part colossale de 90 % des rançons, The Gentlemen sont devenus un aimant à talents cybercriminels, alimentant leur expansion rapide. Ce modèle d’affiliation permet même à des attaquants de compétence moyenne de causer des dégâts à l’échelle d’une entreprise, grâce aux chaînes d’infection et aux mécanismes d’évasion prêts à l’emploi du gang. Parallèlement, leur utilisation d’applications de messagerie courantes pour les négociations et leur présence remarquée sur les réseaux sociaux témoignent à la fois d’une certaine audace et d’une relative immaturité opérationnelle - des talons d’Achille potentiels si les forces de l’ordre ou des rivaux s’en aperçoivent.

Les professionnels de la sécurité sont en état d’alerte maximale. Les experts avertissent que la vigilance sur les actifs exposés à Internet, une segmentation rigoureuse des réseaux et une gestion des correctifs sans relâche sont plus cruciales que jamais. Les attaques des Gentlemen commencent souvent par un seul appareil compromis, mais s’étendent à une compromission totale de l’organisation à une vitesse stupéfiante.

Alors que le paysage du ransomware évolue, l’ascension fulgurante des Gentlemen rappelle crûment qu’en cybercriminalité, les inconnus d’hier peuvent devenir les caïds de demain du jour au lendemain. Leur règne durera-t-il ou s’achèvera-t-il dans une chute spectaculaire ? L’avenir le dira. Pour l’instant, les défenseurs doivent redoubler de vigilance - et surveiller leurs périmètres réseau.

WIKICROOK

• Ransomware : Le ransomware est un logiciel malveillant qui chiffre ou verrouille des données, exigeant un paiement des victimes pour restaurer l’accès à leurs fichiers ou systèmes.
• SystemBC : SystemBC est un malware proxy utilisé par les attaquants pour faire transiter du trafic malveillant, livrer des charges utiles et dissimuler leur activité aux outils de sécurité.
• Active Directory : Active Directory est le système de Microsoft pour gérer les utilisateurs, les appareils et les permissions sur les réseaux d’entreprise, centralisant l’accès et les contrôles de sécurité.
• Cobalt Strike : Cobalt Strike est un outil de test de sécurité souvent détourné par les pirates pour lancer de véritables cyberattaques, ce qui en fait une préoccupation majeure en cybersécurité.
• ESXi : ESXi est la plateforme d’hyperviseur de VMware qui permet aux organisations d’exécuter et de gérer plusieurs machines virtuelles sur un seul serveur physique.