The Gentlemen, un grupo de ransomware de habla rusa, se ha posicionado como una de las amenazas más activas de 2026, siendo superado únicamente por Qilin. Sus tácticas incluyen la explotación de vulnerabilidades de Fortinet, el uso de IA para optimizar sus operaciones y un marco de comando y control (C2) personalizado que logra evadir la mayoría de las herramientas de seguridad.

Un grupo de ransomware de habla rusa conocido como The Gentlemen ha ascendido rápidamente hasta convertirse en una de las amenazas más activas de 2026, situándose solo por detrás de Qilin en actividad de ransomware.

Su conjunto de herramientas combina la explotación de vulnerabilidades de Fortinet, operaciones asistidas por IA y un marco de comando y control totalmente personalizado que la mayoría de las herramientas de seguridad simplemente no ven venir.

El grupo opera sin una oficina central ni una estructura de nómina tradicional. Se han identificado nueve alias de operadores que se comunican a través de diferentes zonas horarias mediante una instancia de Rocket.Chat alojada por ellos mismos en un sitio .onion, con planes de migrar a una plataforma basada en Rust.

Su modelo distribuido y ligero marca un cambio claro respecto a la rígida estructura corporativa que grupos como Conti mantenían en su día.

En mayo de 2026, el equipo de investigación de Ransom-ISAC extrajo 3.366 mensajes del servidor Rocket.Chat de The Gentlemen, exponiendo planes internos, discusiones sobre herramientas y detalles sobre la selección de víctimas.

Analistas de Vectra AI señalaron los hallazgos en un informe compartido con Cyber Security News (CSN), observando que aunque las herramientas del grupo han cambiado considerablemente, las debilidades principales que explotan en las redes de las víctimas se han mantenido casi iguales desde 2022.

Los mensajes filtrados también descubrieron una conexión entre The Gentlemen y marcas de ransomware anteriores. Un negociador conocido por el alias “Tinker” apareció tanto en los chats de Black Basta como en los registros de The Gentlemen, desempeñando el mismo rol operativo en ambos grupos.

Un servidor doméstico de Matrix compartido, bestflowers247.online, estaba presente en los archivos de ambos grupos, anclando ese vínculo de infraestructura con pruebas sólidas.

Este patrón apunta a una verdad más amplia: los operadores de ransomware no se jubilan, se cambian de marca. Las mismas personas trasladan sus conocimientos y accesos de una empresa criminal a la siguiente, haciendo que el desmantelamiento de los grupos sea mucho menos efectivo de lo que muchos defensores podrían esperar.

El Ransomware Gentlemen utiliza exploits de Fortinet, IA y marcos C2 personalizados

Fortinet sigue siendo la puerta de entrada preferida para The Gentlemen. Los registros de Rocket.Chat mencionan FortiGate 81 veces, señalando explícitamente el CVE-2024-55591, un fallo de omisión de autenticación de FortiOS, como su vía principal para entrar en las redes de las víctimas.

El análisis independiente de Halcyon encontró que el grupo realizaba ataques de fuerza bruta contra aproximadamente 1.000 VPN de Fortinet, utilizando en algunos casos contraseñas reutilizadas como gentlemen25 y gentle26 en múltiples víctimas.

Una vez dentro, el grupo despliega un marco de C2 personalizado llamado G-BOT. Este panel de control, previamente indocumentado, admite tunelización SOCKS5 por beacon y carga constructores en sitios temporales de intercambio de archivos, sustituyendo a herramientas comerciales como Cobalt Strike.

Ese cambio hace que la detección sea más difícil para los equipos de seguridad que dependen de firmas conocidas.

El grupo también ataca directamente a los hipervisores. Su bloqueador de Linux ataca al Administrador de Volumen de Hyper-V, cifrando a nivel de hipervisor para que los agentes de endpoint dentro de las máquinas virtuales no puedan detectar el ataque.

El bloqueador asigna la extensión .i8p14s y deja una nota de rescate llamada README-GENTLEMEN.txt, señalando que ninguna capa de infraestructura está fuera de sus límites.

La IA y el robo de credenciales completan la cadena de ataque

The Gentlemen han pasado la IA de ser una novedad a ser una parte operativa de su funcionamiento. Los operadores hacen referencia al uso de modelos GPT y Claude para ayudar en las negociaciones del rescate, describiéndolos como redactores de respuestas automáticas para las comunicaciones con la víctima.

El grupo también discute el alquiler de GPUs en vast.ai y la ejecución de modelos de IA sin censura de Hugging Face para triar grandes volúmenes de datos robados.

Para el robo de credenciales, el grupo confía en Phemedrone Stealer V2.3.2, LummaC2, XenAllPasswordPro, Chrome App-Bound Encryption Decryption y DumpBrowserSecrets.

Estas herramientas extraen contraseñas guardadas directamente de los navegadores sin provocar fallos de inicio de sesión, lo que significa que los registros de autenticación estándar no muestran nada inusual. Los datos robados se trasladan luego a través de rclone hacia MEGA, siguiendo el mismo patrón de exfiltración que los grupos de ransomware han utilizado durante años.

Tienes pasos claros basados en lo que revelan los chats filtrados. Los equipos de seguridad deberían auditar los dispositivos perimetrales, incluidos los equipos de Palo Alto, Fortinet, Citrix, F5 y Cisco, contrastándolos con la lista de CVE discutida en los chats de los operadores.

Tratar el acceso a NTDS.dit y el acceso a copias de seguridad VSS como una alerta inmediata de severidad uno, en lugar de un descubrimiento forense realizado semanas después, puede detener los compromisos en todo el dominio antes de que se desarrollen por completo.

La búsqueda de herramientas como rclone, MEGAcmd, WinSCP y Velociraptor en hosts que no tienen razón para ejecutarlas añade una capa de alerta temprana que los registros por sí solos no pueden proporcionar.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
CVE	CVE-2024-55591	Omisión de autenticación de FortiOS; vector de acceso inicial principal usado por The Gentlemen
CVE	CVE-2024-3400	Día cero de PAN-OS de Palo Alto Networks; CVE más discutido en los chats de operadores de Black Basta
CVE	CVE-2025-32433	RCE de Erlang/OTP SSH; presente en el kit de herramientas de The Gentlemen
CVE	CVE-2025-33073	Vulnerabilidad de relay NTLM; presente en el kit de herramientas de The Gentlemen
CVE	CVE-2023-4966	Citrix NetScaler; referenciado en las discusiones de CVE de los operadores
CVE	CVE-2020-5135	Desbordamiento de búfer de pila de SonicWall (CVSS 9.4); usado por operadores de Conti
Dominio	bestflowers247.online	Servidor doméstico de Matrix compartido que vincula a operadores de Black Basta y The Gentlemen
IP / SSH	193.228.128.2:2222	Servidor de almacenamiento NAS usado en la canalización de exfiltración rclone de The Gentlemen
Credencial	userd0wnloAd1	Nombre de usuario para el servidor NAS usado durante la exfiltración de datos
Contraseña	gentlemen25 / Gentlemen25 / gentle26	Contraseñas de VPN reutilizadas encontradas en múltiples víctimas objetivo de Fortinet
Extensión Archivo	.i8p14s	Extensión de archivo añadida por el bloqueador de Linux/NAS de The Gentlemen
Nombre Archivo	README-GENTLEMEN.txt	Nota de rescate dejada por el bloqueador de Linux de The Gentlemen
Herramienta	Phemedrone Stealer V2.3.2	Ladrón de credenciales usado por The Gentlemen para la recolección de contraseñas de navegador
Herramienta	LummaC2	Ladrón de credenciales / cargador de carga útil usado tanto por Black Basta como por The Gentlemen
Herramienta	XenAllPasswordPro	Herramienta de recuperación de contraseñas usada para el robo de credenciales
Herramienta	DumpBrowserSecrets	Herramienta de volcado de credenciales de navegador usada por The Gentlemen
Herramienta	Chrome App-Bound Encryption Decryption	Herramienta para omitir la protección de credenciales de Chrome
Herramienta	G-BOT	Marco de C2 personalizado con tunelización SOCKS5 usado por The Gentlemen
Herramienta	rclone	Herramienta de exfiltración de datos usada para enviar datos robados a MEGA
Herramienta	Velociraptor	Herramienta DFIR legítima reutilizada por The Gentlemen como C2
Archivo	qwertyuio.txt	Archivo usado por LummaC2 para almacenar credenciales exfiltradas (observado en Black Basta)
Archivo	README-GENTLEMEN.txt	Nombre del archivo de nota de rescate dejado por el bloqueador de Linux del grupo
Ruta	/opt/updateamd	Ruta de invocación del binario del bloqueador de Linux usada por The Gentlemen
Archivo	JA456	Paquete de filtración posterior que expone artefactos del lado del operador de Gentlemen, incluidos datos de sesión de NAS y MEGA
Plataforma	temp.sh / 0x0.st	Sitios temporales de intercambio de archivos usados para cargar las cargas útiles del constructor G-BOT

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución o el enlace accidental. Solo actívalos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/the-gentlemen-ransomware-group-uses-fortinet-exploits/