Una nueva investigación del Equipo Global de Investigación y Análisis (GReAT) de Kasperskysobre el grupo de ransomware de rápido crecimiento conocido como The Gentlemen ha demostrado que los ciberdelincuentes han evolucionado sus tácticas mediante el uso de herramientas desarrolladas a medida.
Se trata de un backdoor o puerta trasera diseñado para facilitar la recopilación de información y el control de los sistemas comprometidos antes del despliegue del ransomware, y un archivo ejecutable. El grupo ha estado activo afectando a industrias de todo el mundo, incluyendo manufactura, servicios de TI, salud, finanzas, construcción y logística.
The Gentlemen es una operación de Ransomware – as – a – Service (RaaS) en continua expansión que se cree que surgió a mediados de 2025. El grupo y sus afiliados obtienen acceso a los sistemas de las víctimas, principalmente explotando servicios expuestos a Internet y credenciales comprometidas. Los ciberdelincuentes podrían estar buscando colaborar con Initial Access Brokers (IABs) para entrar en organizaciones con propiedad intelectual valiosa con el mínimo esfuerzo.
Kaspersky descubrió que el acceso a algunos sistemas de las víctimas, utilizando técnicas que el grupo no emplea habitualmente, ocurrió mucho antes de la infección por ransomware. Esto podría significar que el acceso inicial no fue realizado por The Gentlemen, sino por otro actor de amenazas, posiblemente un IAB.
Descubrimiento de herramientas personalizadas: implantes en Go y C
A diferencia de muchos grupos RaaS, The Gentlemen demuestra un alto nivel de sofisticación al emplear herramientas personalizadas y técnicas de intrusión flexibles. Los analistas de Kaspersky identificaron un backdoor previamente desconocido y desarrollado a medida y escrito en Go, que los ciberdelincuentes desplegaron un día antes de la ejecución del ransomware. Este implante recopila información del host y de la red, y oculta su ventana de consola para evitar la detección. Sus funcionalidades incluyen comunicaciones bidireccionales con los ciberdelincuentes, la ejecución de comandos controlados por el servidor y reconocimiento, lo que permite a los ciberdelincuentes a extender y adaptar su actividad.
Kaspersky también descubrió una nueva variante de ransomware escrita en C que afecta a un número limitado de victimas corporativas. Aunque The Gentlemen ha utilizado principalmente un implante de ransomware escrito en Go diseñado para un uso multiplataforma, la nueva variante basada en C parece estar enfocada en Windows. El grupo podría estar probando el malware en entornos reales.
Intentos fallidos de eludir la seguridad corporativa
The Gentleman intentó eliminar la solución de seguridad de Kaspersky utilizando una herramienta diseñada para desinstalar productos de la compañía. Sin embargo, la solución de Kaspersky se mantuvo activa, y la acción de los ciberdelincuentes fue bloqueada y catalogada como maliciosa.
"A pesar de ser un participante relativamente reciente en el panorama de amenazas de ransomware, el grupo The Gentlemen está ganando rápidamente reputación entre los actores de amenazas, atrayendo afiliados y ejecutando ataques de alto perfil. Las pruebas de las nuevas variantes de ransomware basadas en C sugieren que el grupo está perfeccionando activamente sus capacidades, lo que podría traducirse en cadenas de ataque más estables y escalables en un futuro próximo. Las organizaciones deben anticipar una mayor actividad maliciosa de ransomware y se les recomienda encarecidamente priorizar la gestión de vulnerabilidades y los procesos de fortalecer el sistema (system hardening) para mitigar el riesgo de compromiso", afirmó Fatih Sensoy, experto en seguridad de Kaspersky GReAT.
En el Día Internacional Anti-Ransomware, celebrado el 12 de mayo, Kaspersky compartió un informe con una descripción general de las tendencias recientes de ransomware. Según Kaspersky Security Network, en 2025 América Latina tuvo la mayor proporción de organizaciones con ataques de ransomware detectados (8.13%), seguida de la región de Asia-Pacífico (7.89%), África (7.62%), Oriente Medio (7.27%), la Comunidad de Estados Independientes (CEI, 5.91%) y Europa (3.82%).
Recomendaciones de Kaspersky para proteger del ransomware
Mantener siempre actualizado el software en todos los dispositivos que utilice para evitar que los atacantes exploten vulnerabilidades y se infiltren en su red.
Centrar la estrategia de defensa en la detección de movimientos laterales y la filtración de datos a Internet. Prestar atención al tráfico saliente para detectar conexiones de ciberdelincuentes a su red, así como, configurar copias de seguridad sin conexión que no sean manipulables.
Instalar soluciones anti-APT y EDR que permitan el descubrimiento y la detección avanzada de amenazas, la investigación y la mitigación oportuna de incidentes. Las organizaciones también pueden proporcionar a sus equipos de SOC acceso a la inteligencia de amenazas más reciente y capacitarlos periódicamente con formación profesional. Todo lo anterior está disponible dentro de Kaspersky Next.
