TheGentleman opera un modelo RaaS con foco en objetivos de alto impacto económico. El grupo explota activamente appliances FortiGate como puerta de entrada a redes corporativas, desplegando a continuación una infraestructura de control remoto propia (G-BOT) y herramientas de tunelización para el movimiento lateral. La fase de exfiltración precede siempre al cifrado, aplicando una doble presión sobre las víctimas. Sus operaciones han afectado a más de 400 organizaciones en múltiples continentes desde su aparición a mediados de 2025.
Cronología y evolución
-
Julio-Agosto 2025: Aparición de TheGentlemen como operación RaaS de habla rusa. El 9 de septiembre se registra su primera publicación en el sitio de filtración público. Las plataformas de monitorización de amenazas les atribuyen más de 400 víctimas desde sus primeras semanas.
-
Noviembre 2025: El grupo traslada sus comunicaciones internas desde Mattermost a una instancia de Rocket.Chat alojada en Tor. Comienzan los primeros accesos documentados a través de dispositivos FortiGate y se registran las primeras víctimas confirmadas.
-
Diciembre 2025: Puesta en marcha de una infraestructura de entrega de payloads basada en correo electrónico con documentos HTML como vector principal. Incorporación de los primeros objetivos a través del canal interno de selección PODBOR.
-
Enero 2026: Integración de G-BOT como plataforma de C2 y Velociraptor como herramienta de control remoto complementaria. Intrusión documentada contra un operador de telecomunicaciones de gran envergadura. Mes con mayor volumen de actividad interna registrado.
-
Febrero-Marzo 2026: Campaña de cifrado masivo contra dispositivos NAS. Ataques a empresas de transporte marítimo y logística internacional. Incorporación de modelos de IA para asistir en las negociaciones con víctimas y en el análisis de la información robada.
-
Abril 2026: Alquiler de GPU para el procesado de grandes volúmenes de datos exfiltrados. El grupo monitoriza activamente su posición en clasificaciones públicas de grupos de ransomware, donde figura como el segundo más activo del año 2026.
-
Mayo 2026: La infraestructura de comunicaciones resulta comprometida tras un ataque al proveedor de hosting 4VPS.SU. El 8 de mayo el corpus completo de comunicaciones internas es publicado gratuitamente en foros clandestinos, exponiendo víctimas, herramientas y operaciones del grupo.
Resumen del ataque
| Fase | Descripción |
|---|---|
| Acceso inicial | Acceso mediante explotación de vulnerabilidades críticas en appliances FortiGate (CVE-2024-55591). Uso del cliente openconnect con credenciales VPN obtenidas de los dispositivos comprometidos. Las contraseñas de acceso VPN son reutilizadas entre víctimas bajo un patrón de nomenclatura interno. |
| Reconocimiento interno | Enumeración de recursos SMB con NetExec (nxc) enrutado a través de túneles SOCKS5. Extracción de credenciales LDAP directamente de las configuraciones de FortiGate para la enumeración de Active Directory. Uso de BloodHound para el mapeo de rutas de escalada de privilegios. |
| Acceso a credenciales | Volcado de credenciales de LSASS con Mimikatz y variantes parcheadas para versiones modernas de Windows. Extracción de secretos de navegadores mediante DumpBrowserSecrets y XenAllPasswords. |
| Persistencia y C2 | Despliegue de balizas G-BOT (C2 personalizado con gestión de implantes y proxy SOCKS5 integrado) y Velociraptor (reaprovechado como agente de control remoto). Tunelización con Chisel y encadenamiento de proxies mediante proxychains. |
| Movimiento lateral | Ejecución remota mediante PsExec y WMI. Conexión interactiva vía RDP con credenciales robadas. Pivoting a través de los canales SOCKS5 de los implantes G-BOT. |
| Exfiltración | Transferencia masiva de datos mediante Rclone y WinSCP. Datos organizados en directorios temporales o comprimidos antes de la transferencia hacia infraestructura controlada por el atacante. |
| Pre-cifrado | Detención de contenedores, máquinas virtuales y servicios de base de datos mediante scripts predefinidos. Eliminación de snapshots y volúmenes de sombra para bloquear la recuperación. |
| Cifrado | Locker Linux desplegado desde /opt/updateamd con parámetros de ruta, contraseña y modo ultrafast. Cifrado de volúmenes Hyper-V directamente a nivel de hipervisor. Extensión resultante: .i8p14s. Nota de rescate: README-GENTLEMEN.txt. |
| Impacto y destrucción | Eliminación de copias de seguridad mediante vssadmin delete shadows y wmic shadowcopy delete. Deshabilitación del arranque de recuperación con bcdedit. Destrucción de snapshots ESXi e instantáneas NAS. |
Acceso inicial
El grupo obtiene acceso a redes corporativas principalmente a través de la explotación de CVE-2024-55591 en dispositivos FortiGate, una omisión de autenticación crítica que permite el acceso a la consola de administración sin credenciales. Una vez en el dispositivo, extraen las configuraciones completas que incluyen credenciales VPN y parámetros de enlace LDAP en texto claro. El cliente openconnect con --protocol=fortinet es la herramienta de conexión documentada, utilizando contraseñas reutilizadas entre objetivos distintos bajo un esquema de nomenclatura del propio grupo.
Como vector secundario, el grupo dispone del kit FOBOS Loader, que agrupa múltiples métodos de entrega de payloads: contrabando HTML, variantes ClickFix, archivos LNK, paquetes MSI, droppers Python y explotación de CVE-2024-21412 para la omisión de SmartScreen. El kit integra además Phemedrone Stealer v2.3.2 y herramientas de validación de credenciales robadas.
Acceso a credenciales
Las credenciales de enlace LDAP extraídas de configuraciones FortiGate proporcionan acceso de lectura al directorio corporativo sin necesidad de comprometer un host adicional. Sobre los sistemas Windows el grupo utiliza Mimikatz y versiones modificadas compatibles con las últimas actualizaciones del sistema operativo, así como KslKatz y KslDump para la extracción de tickets Kerberos. La extracción de credenciales almacenadas en navegadores se realiza mediante DumpBrowserSecrets y XenAllPasswords.
Persistencia y evasión
Los implantes G-BOT y Velociraptor proporcionan el canal de control persistente. El primero expone un proxy SOCKS5 por baliza que permite al atacante enrutar tráfico de reconocimiento a través de los propios hosts comprometidos. Se documenta además la evaluación de herramientas de neutralización de EDR, incluyendo un módulo específico contra CrowdStrike disponible como herramienta premium dentro del ecosistema del grupo.
Movimiento lateral
El movimiento dentro de la red se realiza enrutando herramientas de enumeración como NetExec a través de los canales SOCKS5 establecidos. El acceso interactivo se realiza mediante RDP y la conexión SSH a hipervisores ESXi con credenciales de administrador. La herramienta BloodHound se emplea para identificar rutas de escalada de privilegios en entornos Active Directory.
Exfiltración
Rclone es la herramienta principal de transferencia, complementada por WinSCP y evaluaciones internas de clientes de montaje en la nube. Los datos son organizados y comprimidos antes de su transferencia hacia infraestructura controlada por el atacante. Se documenta la capacidad de procesamiento de grandes volúmenes de datos exfiltrados mediante GPU en alquiler.
Cifrado
El locker Linux se despliega desde /opt/updateamd con parámetros de ruta, contraseña y modo de cifrado acelerado. El grupo cifra volúmenes de disco virtual directamente a nivel de hipervisor en entornos Hyper-V, evadiendo los controles de seguridad instalados en las máquinas invitadas y amplificando el impacto a todos los sistemas alojados con una única operación. La extensión resultante en los entornos documentados es .i8p14s y la nota de rescate se deposita como README-GENTLEMEN.txt.
Víctimas y geografía
Las víctimas documentadas incluyen entidades bancarias en Irak, grupos de servicios financieros en Mauricio, fabricantes de cemento en el Golfo Pérsico, empresas cerámicas en España, firmas de inversión en Asia y compañías de transporte marítimo internacional. La selección de objetivos se basa en criterios de ingresos investigados a través de plataformas de inteligencia empresarial, priorizando organizaciones con facturación superior a varios cientos de millones de dólares. La huella geográfica del grupo es global, con presencia documentada en Europa, Oriente Medio, Asia y América.
Fuentes
- Ransom-ISAC: The Gentlemen Leak Analysis (Technical Intelligence Report, mayo 2026)
- RansomLook: Victim tracking data and repository analysis
- Unit 42 by Palo Alto Networks: Ransomware Group Analysis
- BleepingComputer: Ransomware News
- CrowdStrike Blog: Threat Intelligence Updates
Sectores Objetivo
Sectores de actividad en los que el grupo TheGentleman ha concentrado sus ataques.
Objetivo prioritario por el volumen y sensibilidad de los datos de clientes y transacciones. Se han documentado ataques a entidades bancarias comerciales y grupos de servicios financieros. La interrupción operativa genera presión adicional para el pago del rescate dada la criticidad regulatoria del sector.
Atacado para interrumpir cadenas de producción y robar propiedad intelectual industrial. El impacto sobre líneas de fabricación con escasa tolerancia al tiempo de inactividad incrementa la disposición a pagar. Se han documentado objetivos en sectores como cerámica y materiales de construcción.
El grupo ha comprometido empresas navieras y operadores de transporte internacional, donde el volumen de datos operacionales y la continuidad del servicio representan una presión negociadora elevada. La interrupción logística tiene un efecto cascada sobre cadenas de suministro globales.
Objetivo por la criticidad de los servicios y el valor de los datos clínicos. La interrupción de sistemas hospitalarios puede comprometer la atención a pacientes, generando incentivos adicionales para el pago inmediato.
Objetivo por grandes volúmenes de datos de investigación y personales. Las infraestructuras académicas complejas presentan habitualmente una superficie de exposición elevada con recursos de seguridad limitados.
Atacado por el valor de la información ciudadana y la dependencia de la continuidad de los servicios esenciales. Los organismos públicos con recursos de seguridad limitados representan objetivos de alta rentabilidad relativa.
Detection & Response Rules
Reglas listas para importar en SentinelOne XDR. Contacta con nosotros para acceso completo al repositorio actualizado.
Identifica patrones de escaneo de puertos contra activos de la red desde hosts internos o externos. El sensor Merabytes NDR correlaciona secuencias SYN/NULL/FIN/XMAS y ACK en ventanas de tiempo configurables, generando alertas con IP origen, puerto destino y número de sondas detectadas.
Detecta el establecimiento de proxies SOCKS4/SOCKS5 usados para redirigir tráfico C2 a través de hosts comprometidos. El sensor analiza patrones de handshake, volumen de conexiones y entropía del tráfico para identificar herramientas como Chisel, reGeorg, Ligolo-ng o SOCKS5h embebidos en shells reversas.
Detecta consultas LDAP y SMB masivas características de herramientas de enumeración de AD como SharpHound, BloodHound, ADRecon y ldapdomaindump. El sensor identifica el volumen y cadencia de peticiones, distinguiendo la actividad legítima de administración del reconocimiento previo a movimiento lateral.