El Ransomware Gentlemen: Dentro de una Operación de Ransomware como Servicio

Resumen

The Gentlemen es un grupo de Ransomware-como-Servicio (RaaS) de habla rusa que surgió a mediados de 2025 después de operar previamente como afiliado de LockBit y Qilin. El grupo sigue un modelo de doble extorsión, cifrando los datos de las víctimas mientras amenaza con publicar la información robada en un sitio dedicado a filtraciones. Sus operaciones tienen como objetivo entornos Windows, Linux, NAS y BSD utilizando un ransomware basado en Go.

Investigación

Los investigadores de Acronis analizaron una brecha en la infraestructura de The Gentlemen que expuso comunicaciones internas, información de afiliados y discusiones relacionadas con el desarrollo de herramientas. El análisis técnico descubrió unidades personalizadas para matar EDR que abusan de controladores vulnerables para terminar procesos de seguridad. Los investigadores también mapearon las rutinas de cifrado del grupo, los métodos de persistencia y la actividad de movimiento lateral que involucra PsExec.

Mitigación

Las organizaciones deben desplegar soluciones EDR/XDR capaces de identificar la manipulación de herramientas de seguridad y la carga no autorizada de controladores. Mantener los sistemas operativos y los controladores de terceros completamente actualizados es crucial para reducir el abuso de controladores de kernel vulnerables. También se recomienda encarecidamente restringir el uso de PowerShell y mantener copias de seguridad aisladas y probadas regularmente.

Respuesta

Cuando se detecta actividad de The Gentlemen, los respondedores de incidentes deben aislar inmediatamente los sistemas afectados para prevenir el movimiento lateral a través de PsExec o la propagación automática. Investigar tareas programadas no autorizadas y claves de ejecutable de registro como GupdateS and GupdateU para interrumpir persistencia. Revisar los Registros de Eventos de Windows y el historial de PowerShell en busca de evidencia de la eliminación de artefactos y la evasión forense.

Ejecución de Simulación

• Narrativa y Comandos del Ataque: El adversario ha conseguido acceso inicial y está preparando el entorno para un despliegue de ransomware del grupo «The Gentlemen». Para asegurar el máximo impacto y prevenir interferencias, el atacante ejecuta una serie de comandos para: 1) Terminar cualquier aplicación de usuario en ejecución, 2) Detener servicios críticos, 3) Crear un mecanismo de persistencia mediante una tarea programada, y 4) Modificar permisos en un directorio objetivo para asegurar que el proceso de cifrado tenga control total. Esta simulación utiliza las cadenas exactas especificadas en la regla de detección para verificar que la regla se active.

• Script de Prueba de Regresión:

  # Script de simulación para activar la regla de detección de ransomware Gentlemen
  Write-Host "[+] Iniciando simulación de ransomware..." -ForegroundColor Cyan
  
  # 1. Activar selección1 & selección2 (Terminación de Procesos)
  Write-Host "[+] Activando detección de Taskkill..." -ForegroundColor Yellow
  Start-Process "taskkill.exe" -ArgumentList "/F /IM explorer.exe" -Wait
  
  # 2. Activar selección3 (Detener Servicios)
  Write-Host "[+] Activando detección de Net Stop..." -ForegroundColor Yellow
  Start-Process "net.exe" -ArgumentList "stop Spooler" -Wait
  
  # 3. Activar selección4 (Persistencia)
  Write-Host "[+] Activando detección de Schtasks..." -ForegroundColor Yellow
  Start-Process "schtasks.exe" -ArgumentList "/Create /TN UpdateSystem /TR 'calc.exe' /SC ONCE /ST 00:00" -Wait
  
  # 4. Activar selección5 (Cambios de Permisos)
  Write-Host "[+] Activando detección de Icacls..." -ForegroundColor Yellow
  New-Item -Path "$env:TEMPRansomSim" -ItemType Directory -Force | Out-Null
  Start-Process "icacls.exe" -ArgumentList "$env:TEMPRansomSim /grant:r everyone:F" -Wait
  
  Write-Host "[+] Simulación Completa." -ForegroundColor Green

• Comandos de Limpieza:

  # Script de limpieza para eliminar artefactos creados durante la simulación
  Write-Host "[+] Limpiando artefactos de simulación..." -ForegroundColor Cyan
  schtasks /Delete /TN UpdateSystem /F
  Remove-Item -Path "$env:TEMPRansomSim" -Recurse -Force
  Write-Host "[+] Limpieza Terminada." -ForegroundColor Green