Un servidor mal configurado alojado en un proveedor de hosting a prueba de balas ruso ha expuesto el kit de herramientas operativo completo de un afiliado de TheGentlemen ransomware, incluyendo credenciales robadas de víctimas y tokens de autenticación en texto plano utilizados para establecer túneles de acceso remoto ocultos. El grupo TheGentlemen ransomware opera como un servicio de Ransomware-as-a-Service (RaaS), donde los afiliados llevan a cabo ataques utilizando herramientas compartidas

Un servidor mal configurado alojado en un proveedor ruso de hosting a prueba de balas ha expuesto el kit operativo completo de un afiliado del ransomware TheGentlemen, incluyendo credenciales de víctimas robadas y tokens de autenticación en texto plano utilizados para establecer túneles de acceso remoto ocultos.

El grupo de ransomware TheGentlemen opera como un servicio de Ransomware-as-a-Service (RaaS), donde los afiliados llevan a cabo ataques utilizando herramientas e infraestructura compartidas.

Se ha documentado que el grupo ha atacado a organizaciones en América, Europa y Oriente Medio, con capacidades que abarcan entornos Windows, Linux y ESXi.

Su manual de ataque actúa con rapidez, reduciendo el tiempo entre el acceso inicial y el cifrado completo a solo horas. Lo que hace significativa esta exposición en particular es que el servidor no solo contenía herramientas esperando ser usadas. Albergaba evidencia de que esas herramientas ya habían sido desplegadas contra víctimas reales.

El servidor en cuestión fue encontrado en la dirección IP 176.120.22[.]127, operando a través del puerto 80 en la infraestructura de Proton66 OOO, un sistema autónomo con un historial vinculado al ransomware SuperBlack, WeaXor y campañas de XWorm.

El directorio contenía 126 archivos en 18 subdirectorios, sumando aproximadamente 140 megabytes de material operativo.

Los analistas de Hunt.io identificaron el directorio abierto expuesto el 12 de marzo de 2026, mientras investigaban indicadores de compromiso publicados en un informe anterior de CyberXTron sobre el grupo de ransomware TheGentlemen.

Utilizando la capacidad de búsqueda de IOC de AttackCapture, la consulta devolvió un único resultado que apuntaba directamente al servidor sin autenticación, el cual había estado activo durante al menos 24 días antes del análisis.

Todos los scripts analizados en el servidor fueron clasificados automáticamente como maliciosos, dividiéndose en dos categorías: Exploit, que incluye scripts que alteran configuraciones de seguridad y escalan privilegios, y Config, que contiene scripts con tokens de autenticación sensibles.

El análisis de archivos de texto impulsado por IA detectó rutinas de extracción de credenciales, secuencias de desactivación de Defender, limpieza de registros de eventos, configuración de túneles ngrok y mecanismos de persistencia en múltiples archivos.

Dentro del script de despliegue previo al ransomware: z1.bat

El archivo más revelador desde el punto de vista operativo en todo el directorio es z1.bat, un script por lotes de 35 kilobytes que lleva el mayor conteo de indicadores de malware de cualquier archivo en el servidor.

Consolida casi todos los pasos de preparación previos al cifrado en una sola ejecución, diseñado para ejecutarse justo antes del despliegue del ransomware, cuando la velocidad es más importante que mantenerse en silencio.

El script comienza eliminando y desactivando sistemáticamente servicios vinculados a más de una docena de proveedores de seguridad, incluyendo Sophos, Kaspersky, Trend Micro, McAfee, ESET, Webroot, AVG, Malwarebytes, Panda y Quick Heal.

Luego extiende esa misma lógica de detención y desactivación a aplicaciones empresariales, incluyendo más de 30 servicios de Microsoft Exchange, bases de datos Oracle, MySQL, múltiples versiones de Tomcat, infraestructura de respaldo Veeam y Hyper-V, todos los cuales bloquean archivos a los que el ransomware necesita acceder.

Detener estos servicios garantiza la máxima cobertura de cifrado en bases de datos de Exchange, archivos de SQL Server y almacenes de respaldo.

Además de la terminación de servicios, z1.bat realiza una limpieza a nivel de registro dirigida a entradas de productos de seguridad de casi 20 proveedores, abarcando versiones de Kaspersky de casi una década de lanzamientos, la suite completa de productos de McAfee y otros productos como Bitdefender, COMODO, ESET, Avira, Norton y Qihoo 360.

También crea comparticiones SMB abiertas en cada letra de unidad desde C hasta K, otorgando acceso completo a todos los usuarios, permitiendo que el ransomware que se ejecuta en cualquier host comprometido acceda a cada unidad compartida en la red.

El script instala redirecciones de depurador en Opciones de Ejecución de Archivos de Imagen en herramientas de accesibilidad de Windows, incluyendo sethc.exe, utilman.exe, Magnify.exe y HelpPane.exe, reemplazándolas con cmd[.]exe.

Este es el clásico ataque de Sticky Keys, que permite abrir un símbolo del sistema con privilegios de SYSTEM directamente desde la pantalla de inicio de sesión de Windows.

Combinado con la activación de RDP, la desactivación de Autenticación a Nivel de Red y el apagado de UAC, esto crea un acceso persistente que sobrevive a la eliminación de cualquier otra herramienta de acceso remoto.

El script concluye eliminando todas las Copias de Sombra de Volumen, borrando todos los canales de registro de eventos de Windows, limpiando la Papelera de Reciclaje y terminando todos los procesos con un PID superior a 1000, limpiando efectivamente el entorno de ejecución para el lanzamiento del ransomware.

Los equipos de seguridad deben monitorear varios comportamientos vinculados directamente a este kit de herramientas. En el lado del endpoint, observa la ejecución de PowerRun, cambios masivos en el estado del servicio de Windows Defender, limpieza de registros de eventos basada en lotes usando wevtutil, acceso a la memoria de LSASS consistente con Mimikatz, modificaciones de depurador IFEO en binarios de accesibilidad, cambios en el registro de WDigest y creación masiva de comparticiones de red.

En el lado de la red, bloquea conexiones a 176.120.22[.]127 y monitorea actividad de túneles ngrok hacia la infraestructura de ngrok.

Genera alertas ante la ejecución de vssadmin.exe Delete Shadows, patrones de desactivación masiva de servicios y modificaciones en el registro de EnableLUA.

Para el endurecimiento de la configuración, activa Credential Guard, mantén copias de seguridad inmutables fuera de línea, habilita la protección contra manipulación de endpoints, audita los Objetos de Política de Grupo en busca de cambios no autorizados en Defender e implementa listas blancas de aplicaciones en directorios escribibles por el usuario.