The Gentlemen : 1 570 victimes exposées via SystemBC

Ce qui s'est passé

Le 21 avril 2026, les chercheurs de Check Point ont publié un rapport DFIR détaillant l'analyse d'un incident attribué au groupe The Gentlemen. En exploitant les artefacts collectés sur les systèmes compromis, l'équipe a pu remonter jusqu'à un serveur de commande et contrôle SystemBC, puis en obtenir la saisie. L'examen du contenu de ce C2 a mis au jour un botnet actif de plus de 1 570 hôtes, une ampleur qui dépasse très largement le périmètre des victimes habituellement rendues publiques. D'après les indicateurs collectés sur le serveur saisi, la majorité de ces machines appartiendrait à des environnements corporate, et non à des postes de particuliers. Cette visibilité inédite sur l'infrastructure du gentlemen ransomware confirme le rôle central de SystemBC comme canal de persistance et relais proxy dans la chaîne d'attaque.

SystemBC n'est pas nouveau : documenté depuis 2019, il est historiquement loué comme proxy sur les forums criminels. Son usage systématique par Gentlemen marque une étape. Le malware établit des tunnels SOCKS5 à l'intérieur du réseau victime, puis remonte ses communications vers le C2 via un protocole propriétaire chiffré en RC4. Ces tunnels servent de rebond aux opérateurs, qui pilotent ensuite Cobalt Strike et d'autres outils de post-exploitation.

Apparu en juillet 2025, Gentlemen revendique aujourd'hui plus de 320 victimes sur son site de fuite. Le groupe dispose d'un locker écrit en Go compatible Windows, Linux, NAS et BSD, s'appuie sur des pilotes légitimes pour désactiver l'EDR et pratique la double extorsion classique avec chantage à la publication des données.

Pourquoi c'est important

La trajectoire de Gentlemen illustre la migration du ransomware vers des chaînes d'exploitation entièrement modulaires. Le groupe ne développe plus son propre implant de persistance : il loue SystemBC, combine Cobalt Strike, exploite des drivers signés. Cette approche rend la détection plus difficile, car chaque composant pris isolément peut paraître bénin, et les opérateurs changent de maillon sans casser leur tradecraft.

Pour les équipes SOC, l'enseignement opérationnel est clair : SystemBC utilise des ports non standards et des protocoles binaires chiffrés, ce qui échappe aux inspections TLS classiques. La détection repose désormais sur l'analyse comportementale des processus (spawn anormal, connexions sortantes inhabituelles) et sur la corrélation inter-hôtes au niveau du SIEM.

Ce qu'il faut retenir

• 1 570 hôtes d'entreprises compromis, exposés par la saisie d'un seul serveur C2 SystemBC.
• Gentlemen est passé de 35 à 182 revendications en un trimestre, la plus forte croissance du panorama ransomware 2026.
• Prioriser la détection des tunnels SOCKS5 et des drivers BYOVD, au-delà de la seule signature des loaders connus.

Un précédent qui rappelle l'écosystème SystemBC

SystemBC n'en est pas à son coup d'essai dans l'écosystème rançongiciel. Le framework a déjà servi de relais réseau aux affiliés de Conti, puis à des opérateurs liés à LockBit et Royal, avant que sa modularité — écriture en C, faible empreinte, capacité à chaîner plusieurs proxys SOCKS5 successifs — n'en fasse un composant recherché sur les marchés d'accès initial. Sa réutilisation par Gentlemen confirme une tendance documentée depuis 2024 : les groupes de ransomware récents ne cherchent plus à développer leur propre infrastructure de tunneling, jugée coûteuse à maintenir et plus facile à attribuer, mais louent des briques génériques déjà éprouvées par d'autres familles. Cette mutualisation d'outils complique le travail d'attribution des chercheurs, un même binaire SystemBC pouvant se retrouver dans les journaux d'incidents de plusieurs groupes sans lien opérationnel direct entre eux.

La saisie du serveur C2 par Check Point s'inscrit également dans une série d'opérations similaires menées au premier trimestre 2026 contre des infrastructures de commande et contrôle partagées. Les chercheurs soulignent que la liste des 1 570 hôtes compromis ne recoupe pas uniquement des victimes revendiquées publiquement par Gentlemen : une partie des machines identifiées appartiendrait à des intrusions encore actives ou à des environnements de test utilisés par d'autres affiliés partageant le même pool d'infrastructure louée. Cette zone grise illustre une limite structurelle du modèle Ransomware-as-a-Service : la frontière entre victimes confirmées et cibles en cours de reconnaissance reste difficile à établir tant que l'accès initial n'a pas débouché sur un chiffrement ou une exfiltration revendiquée.

Répartition sectorielle et signaux faibles

D'après les indicateurs réseau associés au C2 saisi, la majorité des hôtes identifiés appartiendraient à des PME et ETI des secteurs manufacturier, logistique et services professionnels — un profil de cible cohérent avec les 320 victimes revendiquées sur le site de fuite de Gentlemen depuis juillet 2025. Cette concentration sur des organisations de taille intermédiaire, moins susceptibles de disposer d'un SOC 24/7, corrobore l'analyse de Check Point selon laquelle le groupe privilégie des cibles où la détection de tunnels SOCKS5 chiffrés a statistiquement moins de chances d'être repérée avant l'étape de mouvement latéral.

Le rythme de progression du groupe — de 35 victimes revendiquées au quatrième trimestre 2025 à 182 au premier trimestre 2026 — traduit une industrialisation rapide de la chaîne d'attaque plutôt qu'une simple croissance organique du nombre d'affiliés. Les chercheurs notent que cette accélération coïncide avec l'adoption généralisée de SystemBC comme couche de transport, ce qui a mécaniquement réduit le temps de développement nécessaire entre l'accès initial et le déploiement du framework de post-exploitation. Pour les responsables sécurité, ce type de rapport DFIR public constitue une source de renseignement directement exploitable : les indicateurs de compromission liés au serveur saisi permettent d'alimenter immédiatement les règles de détection réseau, sans attendre une future campagne de threat intelligence commerciale.