Se ha detectado una nueva variante de ransomware denominada The Gentlemen, desarrollada en el lenguaje Go y camuflada mediante la herramienta Garble. Esta amenaza destaca por su capacidad de cifrado potente por archivo y su habilidad para propagarse automáticamente por las redes sin intervención humana, afectando especialmente a sectores como la educación, la salud y el transporte.

Una variante de ransomware recién analizada llamada The Gentlemen está generando graves alarmas en toda la comunidad de ciberseguridad.

Construido en el lenguaje de programación Go y ofuscado con una herramienta llamada Garble, combina un potente cifrado por archivo con una capacidad agresiva para propagarse silenciosamente por redes enteras sin ninguna intervención humana.

Organizaciones de educación, salud, transporte y finanzas en América del Norte, América del Sur, Europa, África y Asia ya han sentido su impacto destructivo.

The Gentlemen opera como una plataforma de ransomware como servicio (RaaS), lo que significa que sus desarrolladores principales alquilan el acceso al malware a otros criminales conocidos como afiliados.

Surgió por primera vez alrededor de mediados de 2025 como un grupo cerrado, y luego abrió sus puertas a los afiliados en septiembre de 2025.

Más recientemente, sus operadores forjaron una alianza formal con BreachForums, un conocido mercado cibercriminal, reclutando activamente a evaluadores de penetración y corredores de acceso inicial para llevar a cabo ataques en su nombre.

Microsoft Threat Intelligence, que rastrea al grupo detrás del malware como Storm-2697, señaló que los operadores utilizan tácticas de doble extorsión.

Cifran los datos de la víctima y, simultáneamente, roban archivos confidenciales, amenazando con publicar la información robada si no se paga el rescate.

Microsoft dijo en un informe  que la amenaza ya ha sido ampliamente adoptada y que esta nueva alianza podría atraer a un grupo aún más amplio de actores criminales en el futuro.

Lo que diferencia a The Gentlemen es su estrategia de ataque por capas. Desactiva herramientas antivirus, elimina copias de seguridad, borra los registros del sistema y elimina rastros forenses antes de que comience el cifrado.

Una vez activo, puede alcanzar una red e instalarse automáticamente en otras máquinas, lo que hace que la contención sea mucho más difícil para los equipos de seguridad y respuesta a incidentes.

El ransomware requiere una contraseña específica de la compilación para ejecutarse, y los operadores pueden controlar casi todos los aspectos de su comportamiento a través de argumentos de línea de comandos.

Estas opciones incluyen configurar la velocidad de cifrado, habilitar la propagación por red y elegir cómo persiste el malware después de un reinicio. Ese nivel de control operativo lo hace inusualmente flexible y personalizable para una herramienta criminal desplegada a escala.

El ransomware utiliza una tarea programada de SYSTEM

Uno de los comportamientos técnicamente más notables en The Gentlemen es cómo logra los privilegios de sistema más altos posibles antes de cifrar las unidades locales.

Cuando el ransomware recibe la instrucción correcta de la línea de comandos, crea una tarea programada de Windows llamada gentlemen_system que ejecuta el ejecutable del malware bajo la cuenta SYSTEM, que es el nivel de acceso más poderoso en una máquina Windows.

Para hacer esto de manera limpia, primero elimina cualquier tarea existente con ese nombre, luego registra y activa inmediatamente una nueva. Una vez que se ejecuta bajo este contexto elevado, el malware establece una variable de entorno interna llamada LOCKER_BACKGROUND=1 para señalar que está operando como un proceso de cifrado en segundo plano con privilegios totales.

Este diseño permite que el ransomware acceda y cifre archivos que de otro modo estarían protegidos o serían inaccesibles para las cuentas de usuario estándar.

Autopropagación a través de la red

The Gentlemen no se detiene en una sola máquina. Cuando se activa su función de propagación, se transforma en un gusano autopropagable capaz de desplegarse en cada sistema al que pueda llegar en la red local.

Aloja su propio binario en una carpeta compartida, lo copia a través de carpetas compartidas administrativas de red e intenta ejecutarlo en hosts remotos utilizando ocho métodos diferentes simultáneamente.

Estos métodos incluyen PsExec, Windows Management Instrumentation, tareas programadas tanto en contextos de usuario como de SYSTEM, servicios de Windows y administración remota de PowerShell.

El malware intenta 21 operaciones de ejecución remota independientes por cada host objetivo. Esta redundancia es central en su estrategia porque, aunque la mayoría de los métodos sean bloqueados, una sola ejecución exitosa en un nuevo host es suficiente para reiniciar todo el ciclo de propagación.

Tú puedes reducir la exposición activando el acceso controlado a carpetas, habilitando la protección antivirus basada en la nube y bloqueando la creación de procesos originados por comandos de PsExec y WMI mediante reglas de reducción de la superficie de ataque.

También se recomienda encarecidamente ejecutar herramientas de detección y respuesta de endpoints (EDR) en modo de bloqueo, así como configurar la interrupción automática de ataques para contener las amenazas activas antes de que se propaguen más por el entorno.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
SHA-256	22b38dad7da097ea03aa28d0614164cd25fafeb1383dbc15047e34c8050f6f67	Binario cifrador del ransomware The Gentlemen
Nombre de archivo	README-GENTLEMEN.txt	Nota de rescate dejada en cada directorio cifrado
Extensión de archivo	.umc16h	Extensión añadida a todos los archivos cifrados
Nombre de archivo	gentlemen.bmp	Bitmap de fondo de pantalla de escritorio dejado en %TEMP% tras el cifrado
Nombre de tarea programada	gentlemen_system	Tarea programada con privilegios de SYSTEM creada para el cifrado elevado
Nombre de tarea programada	UpdateSystem	Tarea programada de persistencia que ejecuta el payload como SYSTEM al iniciar
Nombre de tarea programada	UpdateUser	Tarea programada de persistencia que ejecuta el payload como el usuario actual al iniciar
Valor de clave de registro	GupdateS (HKLM)	Clave de persistencia de autorun en el registro para todo el sistema
Valor de clave de registro	GupdateU (HKCU)	Clave de persistencia de autorun en el registro con alcance de usuario
Ruta de archivo	C:\Temp\psexec.exe	Binario PsExec dejado para movimiento lateral
Nombre de archivo	wipefile.tmp	Archivo temporal utilizado para borrar el espacio libre del disco
Variable de entorno	LOCKER_BACKGROUND=1	Indicador interno que señala la ejecución del cifrado en segundo plano en contexto de SYSTEM
Contraseña Hardcoded	9VoAvR7G	Contraseña de autenticación del operador específica de la compilación embebida en la muestra analizada

Nota: Las direcciones IP y los dominios han sido desinfectados intencionalmente (ej. [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/ransomware-uses-system-scheduled-task/