Raas

กลุ่มแรนซัมแวร์ The Gentlemen (Microsoft ติดตามในชื่อ Storm-2697) แตกตัวจาก Qilin กลางปี 2025 พุ่งขึ้นเป็นภัย Tier-1 เจาะเหยื่อกว่า 500 รายใน 70+ ประเทศ คิดเป็น 10% ของแรนซัมแวร์ทั่วโลกในเดือนเมษายน 2026 จุดเด่นคือชุด GentleKiller ที่ใช้ BYOVD อย่างน้อย 8 สายพันธุ์ปิดโปรเซสความปลอดภัยกว่า 400 ตัวจาก 48 ผู้ผลิต ควบกับตัวเข้ารหัส Go ที่แพร่ตัวเองได้ ฐานข้อมูลภายในกลุ่มรั่วเผยแชต 3,366 ข้อความและรายชื่อเหยื่อ 1,570+ ราย

บริษัท ESET เปิดโปงปฏิบัติการแรนซัมแวร์ The Gentlemen ที่พัฒนาชุดเครื่องมือฆ่า EDR ชื่อ GentleKiller แจกให้สมาชิก (affiliate) ใช้ปิดระบบป้องกันก่อนปล่อยตัวเข้ารหัส GentleKiller มี 8 รูปแบบ แต่ละแบบปลอมเป็นผลิตภัณฑ์ถูกกฎหมายและใช้เทคนิค BYOVD เล็งหา 400 โปรเซสจาก 48 โปรแกรมความปลอดภัย กลุ่มนี้อ้างเหยื่อ 504 รายส่วนใหญ่ในเอเชียตะวันออกเฉียงใต้ และยังพบ infostealer ชื่อ OxideHarvest ขโมยข้อมูลจากเบราว์เซอร์

รายงาน Q1/2026 พบเหยื่อแรนซัมแวร์ 2,122 รายสูงสุดเป็นอันดับ 2 ตลอดกาล กลุ่มใหม่ Hyflock และ The Gentlemen ที่อ้างสายสัมพันธ์กับ LockBit และ Qilin เติบโตอย่างรวดเร็ว โดย The Gentlemen ขยายเหยื่อ 315% ในไตรมาสเดียว กลุ่ม 10 อันดับแรกครองส่วนแบ่ง 71% ของเหยื่อทั้งหมด สะท้อนการรวมตัวของตลาดแรนซัมแวร์

PRODAFT เปิดเบื้องหลังกลุ่ม The Gentlemen (Phantom Mantis) ที่มีเหยื่อ 478 รายแล้ว นำโดยอาชญากรไซเบอร์ชาวรัสเซียที่ใช้ AI ช่วยพัฒนา ransomware เวอร์ชันใหม่มีความสามารถแพร่กระจายแบบ worm ข้ามเครือข่ายผ่าน SSH ได้เอง เหยื่อส่วนใหญ่กระจายอยู่ในไทย สหราชอาณาจักร บราซิล เยอรมนี และอินเดีย

นักวิจัยวิเคราะห์แรนซัมแวร์สายพันธุ์ใหม่ The Gentlemen ที่เขียนด้วย Go และ obfuscate ด้วย Garble ทำงานแบบ RaaS ขโมยข้อมูลคู่กับเข้ารหัสเพื่อกรรโชกสองชั้น จุดเด่นคือใช้ SYSTEM scheduled task ยกสิทธิ์สูงสุดก่อนเข้ารหัสไดรฟ์ และแพร่ตัวเองทั่วเครือข่ายแบบ worm ผ่าน PsExec, WMI, scheduled task, Windows service และ PowerShell remoting พร้อมปิด AV ลบ backup ล้าง log และทำลายร่องรอย forensic ก่อนเข้ารหัส

กลุ่ม The Gentlemen ปฏิบัติการ Ransomware-as-a-Service (RaaS) ที่เปิดตัวกลางปี 2025 ทำสถิติเหยื่อ 332 รายใน 5 เดือนแรกของปี 2569 เติบโตเร็วกว่ากลุ่มอื่นด้วยโมเดล affiliate ที่ใจกว้างและเป็นพันธมิตรกับ BreachForums แต่เมื่อ 4 พฤษภาคม ถูกกลุ่มนิรนามเจาะระบบ backend เปิดเผย affiliate, เครื่องมือ และข้อมูลเหยื่อทั้งหมด