22 июля 2025 года поль­зователь hastalamuerte открыл на форуме RAMP тред с жалобой. Обыч­но прес­тупни­ки ста­рают­ся не прив­лекать вни­мания к сво­им делам, а этот сам рас­писал: сколь­ко зарабо­тал, с кем судил­ся, кто его обма­нул. Жаловал­ся он на Qilin — плат­форму, на которой сам же работал аффи­лиатом.

Ис­тория была прос­тая. Hastalamuerte взло­мал ком­панию, выс­тавил выкуп в пол­милли­она дол­ларов. Жер­тва наняла recovery-фир­му в качес­тве пос­редни­ка, который будет вес­ти перего­воры от ее име­ни. Сот­рудни­ки этой фир­мы решили дей­ство­вать не через hastalamuerte, а нап­рямую через сап­порт Qilin. Recovery-фир­ма пред­ложила 60 тысяч дол­ларов США, а пос­ле тор­га с под­дер­жкой сош­лись на 200 тысячах. А потом Tox-чат с той фир­мой исчез вмес­те с день­гами, а с ним для hastalamuerte исчезла и вся­кая воз­можность доказать даже само сущес­тво­вание сдел­ки.

Hastalamuerte пот­ребовал свою долю, 48 тысяч, но Qilin отка­зал, и 31 июля форум зак­рыл спор не в его поль­зу. Для сто­рон­него наб­людате­ля это мог­ло показать­ся обыч­ной раз­боркой. Но на самом деле это был пуб­личный скан­дал, который дал hastalamuerte повод разор­вать отно­шения с Qilin, пока он тай­но готовил замену для нее.

За пять дней до жалобы на VirusTotal уже лежал обра­зец мал­вари с зашитым внут­ри адре­сом сай­та, которо­го еще не сущес­тво­вало. Пока hastalamuerte пуб­лично счи­тал день­ги с Qilin, он парал­лель­но вов­сю собирал собс­твен­ную RaaS-плат­форму.

The Gentlemen пред­ложили делить выкуп в про­пор­ции 90 на 10: 90% получал аффи­лиат, а 10% — плат­форма. Рань­ше такие выгод­ные усло­вия пред­лагала толь­ко RaaS-плат­форма RansomHub, которая уже с пер­вых месяцев работы начала перема­нивать пар­тне­ров у кон­курен­тов.

Hastalamuerte и Devman до всей этой исто­рии вхо­дили в груп­пу под наз­вани­ем Phantom Mantis, и оба обви­няли Qilin в кидало­ве аффи­лиатов еще до того, как разош­лись каж­дый по сво­ему пути.

Чле­ны груп­пы The Gentlemen про­ника­ли в чужие сети через уяз­вимость в FortiGate — CVE-2024-55591 (под­робнее о ней читай в статье «Ис­тория FortiBleed. Как десят­ки тысяч устрой­ств Fortinet ста­ли фаб­рикой для сбо­ра дан­ных»).

К момен­ту пуб­лично­го анон­са груп­па уже дер­жала базу поч­ти в 15 тысяч ском­про­мети­рован­ных устрой­ств и под тысячу про­верен­ных VPN-паролей, готовых к исполь­зованию с пер­вого дня. Локер был написан на Go — сра­зу для Windows, Linux, NAS, BSD, плюс отдель­ный дви­жок под VMware ESXi.