La banda de ransomware-as-a-service (RaaS) Gentlemen ha utilizado un sofisticado framework llamado GentleKiller para desactivar sistemáticamente herramientas de seguridad de endpoints antes de desplegar su carga maliciosa. Según un informe de ESET publicado el 17 de junio de 2026, este grupo —uno de los más activos en el primer trimestre de ese año— proporciona a sus afiliados una suite centralizada mantenida por operadores para eliminar procesos de EDR y evadir la detección.

Un framework para eliminar EDR altamente sofisticado, apodado GentleKiller, fue utilizado por la banda de ransomware-as-a-service (RaaS) Gentlemen para desactivar sistemáticamente las herramientas de seguridad de los endpoints antes de desplegar su carga útil de ransomware.

Los hallazgos de ESET, publicados el 17 de junio de 2026, detallan cómo Gentlemen, una de las bandas de ransomware más activas en el primer trimestre de 2026, proporciona a sus afiliados una suite centralizada de eliminadores de EDR mantenida por el operador, un modelo poco común incluso entre las operaciones de ransomware de primer nivel.

GentleKiller es un framework de eliminación de EDR interno con al menos ocho variantes distintas, cada una de las cuales suplanta a un producto de seguridad legítimo diferente y abusa de un controlador (driver) de nivel de kernel único, ya sea vulnerable o malicioso.

La técnica utilizada es Bring Your Own Vulnerable Driver (BYOVD), que consiste en cargar un controlador legítimamente firmado pero explotable para finalizar los procesos de seguridad a nivel de kernel, evadiendo así las protecciones del modo de usuario.

En total, GentleKiller apunta a más de 400 procesos vinculados a 48 productos de seguridad, incluyendo líderes de la industria como Microsoft Defender, CrowdStrike, SentinelOne, Sophos, Palo Alto Networks, ESET, Bitdefender, Kaspersky y McAfee/Trellix.

El framework opera en un bucle, escaneando y finalizando periódicamente los procesos seleccionados cada dos segundos, como se evidencia en la salida mostrada a continuación.

Las ocho variantes de GentleKiller abusan de controladores de Kaspersky (eb.sys), FACEIT Anti-Cheat (nseckrnl.sys), Valorant (GameDriverX64.sys), Javelin/Safetica (stpm_old.sys/stpm_new.sys), Zemana WatchDog (dmx.sys), Qihoo 360 (360netmon_wfp.sys), IObit (IMFForceDelete) y el rootkit PoisonX.

Una capacidad definitoria de Gentlemen es su habilidad para operacionalizar exploits de prueba de concepto (PoC) de BYOVD recién publicados a los pocos días de su lanzamiento público.

Herramientas como UnknownKiller y PoisonKiller fueron incorporadas al arsenal de GentleKiller a los pocos días de su divulgación pública en GitHub, lo que demuestra una canalización de desarrollo ágil y con abundantes recursos, según la investigación de ESET.

Esta rápida adopción distingue a Gentlemen de la mayoría de los operadores de RaaS, quienes normalmente esperan semanas o meses antes de adaptar exploits públicos en herramientas listas para producción.

Eliminadores de EDR de terceros integrados en la suite

Más allá de GentleKiller, Gentlemen también integra tres eliminadores de EDR de fuentes externas en su suite para afiliados:

• HexKiller — Atribuido anteriormente en exclusiva a la banda Warlock; abusa de un controlador BdApi de Baidu Antivirus (googleApiUtil64.sys)
• ThrottleBlood — Observado previamente en intrusiones de MedusaLocker y DragonForce; abusa de un controlador de TechPowerUp LLC (ThrottleBlood.sys)
• HavocKiller — Divulgado públicamente por primera vez por Huntress el 19 de marzo de 2026, pero observado en intrusiones reales ya el 23 de enero de 2026; abusa de un controlador de audio de Huawei (havoc.sys)

Las tres herramientas están estandarizadas mediante una capa compartida de evasión de defensas que aplica protectores binarios Enigma o Themida, suplanta a proveedores de seguridad con información de versión fabricada, firmas digitales copiadas e iconos coincidentes.

Gentlemen aplica su estrategia de evasión a nivel de binario compilado, lo que le permite proteger incluso eliminadores de EDR de los cuales no posee el código fuente. Esto crea desafíos significativos de atribución, ya que herramientas de diferentes grupos de ransomware parecen casi idénticas una vez procesadas a través de la canalización de estandarización de Gentlemen.

La banda también utiliza OxideHarvest, un robador de credenciales escrito en Rust mantenido por un afiliado de Gentlemen, que recolecta credenciales de navegadores basados en Chromium y Gecko en los hosts comprometidos.

Gentlemen surgió a finales de 2025 como una operación de RaaS fundada por hastalamuerte, un antiguo afiliado de Qilin, y se convirtió rápidamente en una de las cinco bandas de ransomware más activas en el primer trimestre de 2026.

A diferencia de la mayoría de los grupos importantes de ransomware que se centran intensamente en objetivos basados en EE. UU., Gentlemen apunta deliberadamente a víctimas en el sudeste asiático, Sudamérica y Europa occidental, seleccionando los objetivos basándose principalmente en configuraciones incorrectas de FortiGate en lugar de criterios geográficos.

La banda quedó aún más expuesta debido a una filtración de datos internos en mayo de 2026, que confirmó que sus operadores desarrollan, mantienen y distribuyen activamente GentleKiller y la suite de eliminadores de EDR más amplia a afiliados verificados.

Gentlemen ofrece a sus afiliados un reparto de ingresos inusualmente generoso del 90%, reduciendo la barrera de entrada y acelerando el reclutamiento de sus afiliados.

Los equipos de seguridad deberían priorizar la creación de listas blancas de controladores y aplicar la lista de bloqueo de controladores vulnerables de Microsoft para prevenir ataques de estilo BYOVD. Los defensores también deberían monitorizar el directorio de almacenamiento GentlemenCollection y los eventos anómalos de carga de controladores del kernel.

Correlacionar los patrones de terminación de procesos, especialmente aquellos dirigidos a software de seguridad, con eventos de instalación de controladores sigue siendo la señal de detección conductual más fiable contra GentleKiller y sus variantes.

Fuentes:
https://cybersecuritynews.com/gentlekiller-ransomware-edr-processes/