La operación de ransomware The Gentlemen está pasando del acceso al cifrado total de la red a una velocidad sorprendente. En algunas intrusiones, los atacantes desactivaron las defensas y los servicios de recuperación antes de desplegar el ransomware en menos de 24 horas en diversas empresas.

El grupo opera como un servicio de ransomware (RaaS), lo que significa que sus afiliados pueden atacar a las organizaciones a las que logren acceder. Su enfoque de doble extorsión aumenta la presión: primero roban los archivos y luego los cifran, dejando a las víctimas enfrentando tanto una filtración de datos como una interrupción operativa.

Analistas de Sophos examinaron 15 incidentes vinculados al grupo, rastreado como GOLD SHERWOOD, y encontraron un manual de actuación repetible.

Los hallazgos muestran cómo una pequeña ventana de tiempo después de un inicio de sesión sospechoso puede convertirse rápidamente en una caída total de la empresa.

Sophos señaló en un informe que el acceso inicial parece provenir de interfaces de gestión de firewalls expuestas, dispositivos sin parches o credenciales de VPN robadas.

Una cuenta de Fortinet SSL VPN sin autenticación de múltiples factores dio al intruso un punto de apoyo, subrayando por qué la vulnerabilidad de omisión de autenticación de FortiOS sigue siendo una preocupación grave para la infraestructura expuesta.

The Gentlemen desactivan el EDR

Una vez dentro, los afiliados se movieron a través de los sistemas utilizando credenciales de dominio legítimas y el Protocolo de Escritorio Remoto (RDP).

Colocaron su conjunto de herramientas en una ubicación de Windows confiable que a menudo se pasa por alto, luego mapearon los sistemas, los almacenes de datos y la infraestructura de respaldo antes de que comenzara la etapa visible del ataque.

Aumentaron su control cambiando las contraseñas de administrador, agregando cuentas a grupos privilegiados y habilitando el acceso a escritorio remoto.

En varios casos, crearon reglas de firewall para permitir conexiones RDP externas, proporcionando una ruta de respaldo en caso de que se perdiera la sesión de VPN comprometida originalmente.

A continuación, eliminaron los obstáculos para el cifrado. Los atacantes utilizaron utilidades personalizadas y disponibles públicamente, incluidos controladores vulnerables, para terminar los procesos de antivirus y de detección y respuesta de endpoints (EDR).

También debilitaron Windows Defender agregando exclusiones de escaneo amplias o cambiando la configuración de las políticas. Un informe reciente sobre cómo los operadores de ransomware desactivan el EDR muestra el patrón general de los grupos que detienen el software de seguridad y respaldo antes de propagarse por una red.

En esta campaña, el esfuerzo fue deliberado y no incidental, utilizando múltiples enfoques cuando un método fallaba. Los servicios de respaldo fueron desactivados a continuación, a menudo inmediatamente antes del cifrado.

Se enfocaron en los servicios de recuperación y agentes de respaldo, dificultando que los equipos restauraran los sistemas. En una intrusión, también borraron los registros de eventos de Aplicación, Sistema y Seguridad, ocultando la evidencia que los respondientes necesitan para rastrear la brecha.

Manual de cifrado rápido

Antes de bloquear los sistemas, el grupo copió archivos seleccionados con herramientas de transferencia legítimas. Comúnmente se centraron en los datos más recientes y utilizaron filtros para reducir el volumen transferido, lo que puede hacer que la actividad de salida sea menos obvia mientras siguen recolectando material valioso para la extorsión.

Los afiliados adaptaron su proceso. Los investigadores vieron que alternaban entre utilidades de transferencia y métodos de almacenamiento de objetos a medida que cambiaban las condiciones.

Esa flexibilidad se asemeja a otros ataques contra infraestructura remota, incluidos los ataques de VPN del ransomware Gunra, donde los puntos de acceso expuestos pueden conducir rápidamente a una actividad de ransomware de alto impacto.

El intervalo medio desde la primera actividad observada posterior al compromiso hasta el despliegue del ransomware fue de aproximadamente dos días. El período más corto observado fue de menos de 24 horas, dejando muy poco espacio para una investigación manual después de que el atacante gana la entrada.

El bloqueador se desplegó localmente, a través de carpetas compartidas de red, o a través del dominio utilizando carpetas de inicio de sesión centralizadas y ejecución remota.

Cifró los archivos, asignó una extensión de seis caracteres y dejó una nota de rescate en los directorios afectados. Aunque Windows fue la única versión desplegada en los casos revisados, existen compilaciones relacionadas que también soportan entornos Linux y ESXi.

El ritmo hace que la prevención y la detección temprana sean igualmente importantes. Debes parchear los firewalls orientados a internet y los dispositivos VPN, exigir MFA para cada cuenta de acceso remoto, restringir la exposición de RDP y revisar detalladamente las nuevas cuentas privilegiadas.

Tus equipos también deberían alertar sobre actividades inusuales en carpetas de preparación del sistema, utilidades de transferencia de datos desconocidas, exclusiones de Windows Defender, servicios de respaldo desactivados, registros borrados e intentos de cargar controladores vulnerables.

Separar los respaldos del control ordinario del administrador y probar los planes de recuperación puede evitar que los atacantes conviertan una sola cuenta comprometida en una caída prolongada.