El grupo de ransomware conocida como The Gentlemen emplea una combinación de manipulación de seguridad, interrupción de servicios y cifrado de archivos para dificultar la recuperación de las organizaciones afectadas. Su malware para Windows puede desactivar la protección en tiempo real de Microsoft Defender, añadir exclusiones amplias para reducir el escaneo, detener los servicios de copia de seguridad y eliminar las copias de sombra del volumen, debilitando así las defensas del sistema.

El ransomware conocido como The Gentlemen está utilizando una mezcla de manipulación de seguridad, interrupción de servicios y cifrado de archivos para dificultar la recuperación de las organizaciones afectadas.

Su malware para Windows puede desactivar la protección en tiempo real de Microsoft Defender, añadir exclusiones amplias que reducen el escaneo, detener los servicios relacionados con las copias de seguridad y eliminar las copias de sombra del volumen (Volume Shadow Copies). Estos pasos debilitan las defensas y eliminan las formas comunes de restaurar archivos después del cifrado.

El malware también ataca más que simples archivos. Puede borrar los registros de eventos y otros registros del sistema que los investigadores podrían necesitar para entender qué sucedió.

El grupo utiliza un modelo de doble extorsión: los atacantes pueden robar datos además de cifrarlos, aumentando el riesgo de exposición pública incluso cuando la víctima tiene copias de seguridad. Esta secuencia es un recordatorio de que una respuesta exitosa contra el ransomware depende de proteger tanto los sistemas como los datos de recuperación.

Analistas de la Unidad de Investigación de Amenazas de Acronis identificaron estos comportamientos en su análisis técnico del ransomware The Gentlemen y sus herramientas asociadas. El informe describe una operación de ransomware como servicio (RaaS) basada en Go que surgió en 2025 y que ataca sistemas Windows, Linux, almacenamiento conectado a la red (NAS) y BSD.

Acronis afirma que el grupo ha reclamado más de 800 víctimas, aunque esa cifra refleja las afirmaciones del grupo y no infecciones confirmadas de forma independiente.

En Windows, el ransomware intenta desactivar el monitoreo en tiempo real de Defender y añadir su proceso y la unidad C: a la lista de exclusiones.

Esto puede permitir que el malware se ejecute con menos interferencias mientras se prepara para cifrar los archivos. También detiene procesos y servicios seleccionados vinculados a herramientas de seguridad, bases de datos, máquinas virtuales, correo electrónico y productos de copia de seguridad.

Ya se ha informado anteriormente sobre cómo los operadores de Gentlemen desactivan las defensas y los servicios de copia de seguridad durante las intrusiones.

El impacto no se limita al software de seguridad. Detener los servicios de bases de datos o de virtualización puede liberar archivos para el cifrado, mientras que interrumpir el software de copia de seguridad puede evitar que se ejecuten las tareas de recuperación rutinarias.

Utilizan el ransomware Gentlemen

Antes del cifrado, el malware también intenta eliminar las copias de sombra del volumen disponibles, que Windows puede utilizar para restaurar versiones anteriores de los archivos.

Puede borrar registros seleccionados de Windows, datos de prefetch e historial de comandos de PowerShell, reduciendo la evidencia local disponible para los equipos de respuesta.

Acronis descubrió que el ransomware puede establecer persistencia a través de tareas programadas y entradas del registro de inicio de Windows. También puede buscar unidades conectadas y, cuando se utiliza la opción correspondiente, carpetas compartidas de red.

Con su función de propagación activada, puede identificar un dominio y usar PsExec para copiar y ejecutar el ransomware en otras estaciones de trabajo.

Este comportamiento conecta una máquina comprometida con un riesgo de red más amplio, un patrón también detallado en la cobertura sobre la propagación del ransomware Gentlemen a través de las redes.

El proceso de cifrado está diseñado para moverse rápidamente. El informe indica que los archivos de menos de 1 MB se cifran por completo, mientras que los archivos más grandes pueden cifrarse por secciones.

El malware utiliza ChaCha20 para el cifrado de archivos y criptografía de curva elíptica para proteger las claves de los archivos. Los archivos cifrados reciben una extensión que puede variar entre versiones, y el malware deja una nota de rescate en las carpetas afectadas.

Acronis también identificó una herramienta separada utilizada para terminar procesos de seguridad. Esta despliega controladores vulnerables, los instala como servicios y los utiliza para detener procesos seleccionados a nivel de kernel.

Un controlador está vinculado a Safetica ProcessMonitorDriver, asociado en el informe con CVE-2025-70795; el otro es BootRepair.sys de Lenovo.

La técnica es conocida como “trae tu propio controlador vulnerable” (bring your own vulnerable driver): los atacantes abusan de un controlador con una debilidad para realizar acciones que las herramientas ordinarias a nivel de usuario podrían no permitir. Para más contexto, consulta el informe sobre controladores vulnerables utilizados contra EDR.

Para quienes defienden los sistemas, las señales de advertencia incluyen cambios inesperados en la configuración de Defender, detención de servicios de seguridad o copia de seguridad, instalaciones de controladores desconocidos, borrado de registros y cambios rápidos de archivos en múltiples sistemas.

Las organizaciones deberían investigar

Las organizaciones deberían investigar estos eventos en conjunto en lugar de como alertas aisladas. Acronis recomienda mantener activas las herramientas de detección de endpoints, parchear sistemas y controladores, limitar el acceso administrativo, monitorear PowerShell y las herramientas de administración remota, y segmentar las redes para restringir la propagación.

Las copias de seguridad deben probarse regularmente y protegerse con controles de acceso que eviten que los sistemas comprometidos ordinarios las eliminen o modifiquen.

Mantener copias críticas fuera de línea o aisladas de la producción puede preservar una vía de recuperación si los atacantes acceden a cuentas de administrador. Microsoft asimismo aconseja restaurar a partir de copias de seguridad inmutables o fuera de línea verificadas después de incidentes de ransomware.

Estas medidas no pueden prevenir cada intrusión, pero pueden reducir la probabilidad de que un dispositivo comprometido se convierta en una interrupción prolongada.

Fuentes:
https://cybersecuritynews.com/hackers-use-gentlemen-ransomware/