The Gentlemen: RaaS y LATAM bajo extorsión

Resumen ejecutivo

The Gentlemen se consolidó en 2026 como una de las operaciones de ransomware más activas del mercado criminal, con métricas que la ubican de forma consistente entre los actores de mayor volumen de víctimas reclamadas. El material consolidado la describe como una operación de ransomware-as-a-service, operada por humanos, rastreada por Microsoft Threat Intelligence como Storm-2697, con transición formal a un modelo de afiliados en septiembre de 2025. A lo largo de 2026 pasó de una aparición reciente a una actividad masiva, con centenas de víctimas listadas en su leak site y con un crecimiento sostenido en el número de reclamaciones publicadas.

El rasgo más estable de la campaña es su modelo de doble extorsión. En la práctica, The Gentlemen entra en redes corporativas, exfiltra datos sensibles, cifra sistemas críticos y luego amenaza con publicar la información robada si no recibe el pago. Varios análisis añadieron que, en determinados casos, el grupo escaló a una lógica de presión adicional, con temporizadores de cuenta regresiva en el leak site, publicaciones parciales de documentos y, en algunos reportes, amenazas DDoS. Eso lo ubica en un escalón operativo más agresivo que el ransomware clásico centrado solo en indisponibilidad.

La expansión técnica también fue clara. El grupo trabajó con un encryptor escrito en Go, ofuscado con Garble, con builds para Windows, Linux, BSD, NAS y ESXi, y con algoritmos como XChaCha20 y Curve25519 en distintas familias relacionadas. Sobre ese núcleo, la operación incorporó técnicas de evasión y de desactivación de defensas, incluyendo borrado de copias de sombra, abuso de PsExec y WMI, deshabilitación de antivirus y mecanismos compatibles con BYOVD. En la práctica, esto se traduce en una cadena de intrusión muy orientada a la persistencia, al reconocimiento y a la eliminación de barreras antes del cifrado.

El perfil de objetivos también resulta consistente. Las fuentes citan sectores como manufactura, salud, finanzas, construcción, energía, retail, tecnología, educación, seguros y gobierno. En términos geográficos, la evidencia consolidada muestra reclamos en Norteamérica, Sudamérica, Europa, África y Asia, con presencia visible en México, Colombia, Perú, Chile, Argentina y Brasil. No se trata solamente de un actor con alcance global, sino de una operación que encontró en América Latina una superficie de oportunidad concreta, especialmente donde convergen servicios expuestos, credenciales débiles, VPN sin parchear y una baja tolerancia operativa a la interrupción.

En el plano defensivo, la señal más repetida es que The Gentlemen no depende de un único vector. Combina explotación de vulnerabilidades de borde, acceso comprado, phishing, RDP expuesto y abuso de herramientas de administración remota. Esa mezcla, sumada a la velocidad de exfiltración previa al cifrado, hace que la detección basada solo en el momento de detonación del ransomware llegue tarde. La ventana real de caza está antes, en la telemetría de VPN, en los picos de lectura masiva de archivos, en la creación de sesiones administrativas anómalas y en la aparición de herramientas de reconocimiento y de manipulación de defensas.

Contexto y antecedentes

The Gentlemen aparece en el material como una operación surgida a mediados de 2025, con primeras referencias que oscilan entre julio y agosto de ese año. ManageEngine, FortiGuard, Mallory.ai, DysruptionHub, BlackFog, Halcyon, Ransomware.live y otros perfiles coinciden en que se trata de una operación RaaS, con un paso progresivo desde una fase cerrada hacia un esquema de afiliados más público. Algunos informes sitúan esa apertura formal en septiembre de 2025. Otros subrayan que su origen podría estar en la evolución de ArmCorp, antiguo afiliado de Qilin, lo que refuerza la lectura de una fragmentación del ecosistema y de una migración de operadores con experiencia previa.

La relevancia de ese antecedente es doble. Primero, explica la velocidad con la que el grupo pudo escalar. Segundo, ayuda a entender por qué su playbook mezcla técnicas tradicionales de ransomware con infraestructura más sofisticada de exfiltración, C2 y evasión. En lugar de un conjunto estático de herramientas, el material muestra una operación que adapta su cadena a la superficie expuesta de cada víctima, pero siempre sobre la misma lógica de negocio: monetizar acceso, filtrar datos y forzar negociación.

El material también deja ver que el grupo no se limitó a una sola familia de malware. Hay referencias a un encryptor en Go ofuscado con Garble, a un toolkit multiplataforma para Windows, Linux, ESXi, BSD y NAS, a lockers adicionales, a variantes con autopropagación y a módulos de evasión con drivers maliciosos. Entre las observaciones más consistentes figuran el uso de GentleKiller, PoisonX3.sys, PoisonX4.sys y anticheatG13.sys, todos orientados a debilitar soluciones de seguridad antes de ejecutar el cifrado.

Tabla de hechos clave

Timeline de la operación

Cadena de ataque y TTPs

El patrón operativo que emerge del research es consistente y poco improvisado. El acceso inicial suele entrar por el perímetro, no por un endpoint aislado. Cyware identifica tres vectores recurrentes, Citrix NetScaler ADC (CVE-2025-5777), SonicWall SSL VPN (CVE-2024-40766) y Fortinet FortiOS (CVE-2024-55591). Security Arsenal amplía la fotografía con Check Point y Cisco Secure Firewall, además de ConnectWise ScreenConnect (CVE-2024-1708). A eso se suman credenciales robadas o compradas, RDP expuesto, campañas de phishing con documentos con macros y abuso de servicios de administración remota como ScreenConnect o herramientas tipo RMM.

Una vez dentro, la operación busca persistencia y reconocimiento. Intel471 describe el playbook como ingreso por servicios expuestos a Internet, mapeo de red, identificación de cuentas de administrador de dominio, desactivación de herramientas de seguridad y distribución del payload mediante NETLOGON. DataEnforce, por su parte, apunta a lectura o descarga masiva de documentos desde una sola cuenta, acceso transversal a repositorios de múltiples filiales, autenticaciones anómalas en VPN y transferencias sostenidas hacia endpoints cloud desconocidos. Eso sugiere un foco claro en la etapa previa al cifrado, cuando todavía existe margen de contención.

La desactivación de defensas es otro rasgo clave. Cynet documenta el uso de PoisonX3.sys y PoisonX4.sys, instalados como servicios en HKLM\SYSTEM\CurrentControlSet\Services\PoisonX, para manipular procesos, red, archivos y memoria y así terminar servicios de seguridad. Cybersecurity News agrega anticheatG13.sys, un driver de kernel usado para terminar casi 180 procesos relacionados con seguridad. Security Arsenal menciona el borrado de copias de sombra con vssadmin o wmic, la desactivación de backups y antivirus, y comportamientos cercanos a BYOVD. Ese conjunto no parece accesorio, es central para abrir el camino al cifrado.

El ransomware en sí también está bien caracterizado. ManageEngine, DataEnforce, Infobae, Mallory.ai y DEFOnline coinciden en el uso de Go y de ofuscación con Garble. Según la fuente, el cifrador tiene builds para Windows, Linux, BSD, NAS, ESXi y entornos virtualizados, y en algunos casos requiere una contraseña específica para ejecutarse. Esto último limita la propagación no controlada y complica el análisis en sandbox. RST Cloud y Mallory.ai agregan el uso de XChaCha20 y Curve25519, mientras DEFOnline subraya capacidades de autopropagación agresiva en la red comprometida.

La exfiltración suele anteceder al cifrado entre 48 y 72 horas, según Security Arsenal, y la permanencia total en red oscila entre 4 y 14 días antes de la detonación. Esa ventana es especialmente relevante para detección y respuesta, porque la actividad previa al cifrado es donde aparecen los patrones más explotables, como enumeración de servicios, lecturas masivas, movimientos laterales y borrado de logs. El modelo no busca el golpe instantáneo. Busca la degradación progresiva de la defensa para llegar a la fase de extorsión con la mayor cantidad posible de control y de datos extraídos.

Impacto regional

Panorama regional

La traza regional de The Gentlemen es amplia y está bien documentada en el material. No se trata de un actor centrado en una sola geografía, sino de una operación que encontró terreno fértil en múltiples mercados a la vez. Las fuentes agregadas lo ubican con víctimas en Norteamérica, Sudamérica, Europa, África y Asia. Dentro de ese mapa, América Latina aparece como una zona particularmente expuesta, tanto por la presencia de víctimas concretas como por la recurrencia de técnicas que explotan superficies muy comunes en la región, por ejemplo Fortinet FortiGate, RDP expuesto, VPN sin parches y cuentas administrativas con excesos de privilegio.

El patrón latinoamericano no es homogéneo. En algunos casos, como Ecopetrol, hay confirmación corporativa parcial y alertas regulatorias posteriores. En otros, como Oldelval, el incidente fue contenido operativamente, pero siguió siendo una reclamación pública del grupo. En Perú, la Municipalidad de San Luis aparece en varios registros como listado de leak site, aunque sin confirmación oficial de brecha. En Chile, la compañía minera Grupo Minero Las Cenizas quedó marcada como reclamación no confirmada. En Brasil, Intranet Gov Brasil figura como una publicación de leak site aún sin confirmación gubernamental. México, por su parte, quedó expuesto a una intrusión contra Advanced Marketing, también sin todos los detalles técnicos divulgados.

Colombia

Ecopetrol es el caso regional más relevante y también el más complejo de verificar. La empresa detectó el 17 de julio de 2026 un acceso irregular que derivó en la descarga no autorizada de datos asociados a aproximadamente 3.300 cuentas de usuario y a entornos de nube de 15 empresas del grupo. El material disponible coincide en que no hubo cifrado masivo ni impacto directo en la operación de producción, pero sí una exfiltración de datos y una extorsión pública posterior.

The Gentlemen reclamó en su sitio la exfiltración de más de 1 TB y 65 millones de documentos. Esa cifra, sin embargo, no quedó validada de forma independiente y debe tratarse como reclamo del actor. Lo relevante, desde el punto de vista de defensa regional, es que el caso confirmó la combinación entre acceso irregular, presión extorsiva y publicación de información, y motivó respuestas oficiales. ColCERT emitió una alerta de riesgo alto para el sector empresarial colombiano el 18 de julio de 2026 y reforzó recomendaciones sobre parcheo urgente de dispositivos Fortinet FortiGate, otras VPN y activación obligatoria de doble autenticación.

El caso además ayudó a consolidar la asociación pública entre The Gentlemen y un enfoque de intrusión orientado al perímetro. DataEnforce describió el incidente como una intrusión atribuida en reporting público al grupo y recordó que ColCERT ya había vinculado a The Gentlemen con más de 200 ataques en 50 países hacia abril de 2026. En el plano narrativo, Ecopetrol funcionó como disparador de mayor visibilidad regional para una operación que ya venía creciendo.

Argentina

Oldelval aparece como el caso argentino más sólido en el material. La empresa fue listada por The Gentlemen el 23 de julio de 2026, con referencia a la exfiltración de archivos internos durante un ataque de ransomware. Los reportes públicos indican que la compañía no difundió una notificación detallada de brecha y que continuaban sin conocerse con precisión el número de personas afectadas ni el volumen de datos comprometidos. Aun así, la comunicación de la propia empresa a la Comisión Nacional de Valores describió un impacto focalizado en sistemas administrativos, mientras el transporte de crudo siguió operando sin interrupciones y el incidente fue declarado como totalmente contenido.

En el plano técnico, DEFOnline describe al malware asociado como desarrollado en Go, ofuscado con Garble y capaz de autopropagación agresiva dentro de la red, con cifrado híbrido rápido basado en Curve25519 y XChaCha20. The Rio Times y FalconFeeds añadieron el contexto de una reclamación pública del grupo, pero sin confirmación oficial de autoría. El valor analítico del caso está en que muestra un escenario donde la continuidad operacional se preserva, pero la superficie administrativa queda expuesta y la presión del leak site sigue activa.

Chile

Chile aparece en el material como una geografía con varios reclamos, pero con escasa confirmación pública. Security Chu mencionó supuestos ataques confirmados contra La Cámara Seguros, el INDH y Corporación Colina, aunque sin detalles técnicos ni validación independiente. El caso más concreto es Grupo Minero Las Cenizas, listado por The Gentlemen el 31 de julio de 2026 con una afirmación de exfiltración de archivos internos. GalaxyWarden precisó que la entrada no detallaba número de registros ni tipos de información robada y que el incidente seguía siendo no confirmado, porque la empresa no había emitido notificación de brecha.

El valor de Chile en este corpus es metodológico. Muestra cómo los leak sites pueden incorporar nombres corporativos o institucionales que luego circulan en medios y agregadores, pero sin el respaldo de una confirmación oficial. Para un equipo de inteligencia, eso exige separar de inmediato reclamos del actor, menciones mediáticas y hechos validados.

Perú

La Municipalidad Distrital de San Luis, en Lima, fue listada por The Gentlemen el 31 de julio de 2026. GalaxyWarden, Dexpose, Hookphish, Ransomware.live, RecentBreaches y BreachSense coinciden en que se trató de una reclamación del actor con amenaza de publicación de datos sensibles, pero sin confirmación oficial de brecha por parte de la municipalidad. Ransomware.live registró 38 usuarios comprometidos, aunque tampoco hay detalle público verificable sobre alcance de la filtración.

Lo interesante del caso es la convergencia entre lo reportado por medios y lo observado en la narrativa del grupo. Hubo también un reporte previo en la red social X que mencionaba el hackeo a los sistemas informáticos de la municipalidad el 24 de julio, con afectación temporal de consultas y pagos en línea y activación de protocolos de recuperación. Ese dato no alcanza para confirmar atribución, pero sí refuerza la idea de que la superficie de servicios locales es una vía frecuente de presión.

IntelFusions indicó además que entre el 30 y el 31 de julio The Gentlemen publicó nuevas víctimas, entre ellas gobiernos municipales en Brasil y Perú, en el marco de una escalada de actividad. En términos regionales, Perú queda así como un entorno donde la operación combina reclamos de leak site con baja visibilidad oficial y posible exposición de infraestructuras municipales.

Brasil

Brasil es otro de los focos recurrentes en el material. El caso Intranet Gov Brasil, listado el 7 de agosto de 2026, fue presentado por The Gentlemen como una intrusión sobre la red interna y el portal digital usado por el gobierno federal brasileño. GalaxyWarden y Ransomware.live aclararon que, a la fecha de publicación, no había confirmación pública por parte del gobierno ni de Serpro o Dataprev, y clasificaron el caso como reclamación no confirmada.

El valor de este registro está en la combinación de sensibilidad institucional y falta de validación. Es un buen ejemplo de cómo un leak site puede intentar amplificar el impacto de una reclamación en entornos gubernamentales para forzar atención mediática, aun cuando la evidencia disponible se limite al anuncio del propio actor. IntelFusions, además, señaló que durante el 30 y 31 de julio el grupo publicó gobiernos municipales de Brasil y Perú dentro de una escalada de actividad, lo que sugiere que la región estaba siendo empujada con más fuerza por el actor en esas fechas.

México

México aparece con Advanced Marketing, empresa distribuidora y editorial de libros con dominio advmkt.com.mx, listada por The Gentlemen el 25 de julio de 2026. GalaxyWarden, Dexpose y HackerFeeds coinciden en que hubo un reclamo explícito del grupo, con amenaza de filtración de datos sensibles si no se iniciaban negociaciones. El caso se clasificó como de severidad media por algunos agregadores, pero a fines de julio no se habían publicado montos de rescate, volúmenes de datos ni indicadores técnicos detallados.

La relevancia de este incidente es táctica. GalaxyWarden remarca que The Gentlemen suele atacar empresas medianas en América Latina y Europa mediante phishing o servicios RDP explotados, seguidos de una exfiltración rápida de archivos sensibles antes del cifrado. Ese enfoque encaja con el perfil de muchas organizaciones medianas mexicanas, donde el perímetro expuesto y la gestión de accesos remotos siguen siendo puntos de entrada de alto rendimiento para operadores de ransomware.

Estados Unidos

Estados Unidos aparece en múltiples fuentes como mercado prioritario y también como fuente de víctimas concretas. Mallory.ai identificó a Control Concepts Technology, con sede en Texas, como víctima relacionada con ransomware atribuida a The Gentlemen, y a TopMark Funding, con sede en California, como otra brecha de datos asociada al grupo. También reportó a Kenaitze Indian Tribe, en Alaska, como víctima datada el 31 de julio de 2026, además de otras organizaciones estadounidenses como Promatrix.

Security Arsenal sostuvo que, dentro de un lote de 25 nuevas víctimas, Alemania y Estados Unidos fueron los mercados primarios del grupo, con entidades de entre 50 y 500 empleados. BankInfoSecurity y S-RM también ubicaron a The Gentlemen como una operación prolífica antes de sufrir su propia filtración interna. Aunque el foco de esta investigación es América Latina, Estados Unidos funciona como referencia operativa del nivel de madurez y escala del actor.

Países sin cobertura verificable suficiente

No se identificaron hechos verificables adicionales en el research para Paraguay, Bolivia, México no aportó un segundo caso distinto de Advanced Marketing, y Uruguay no presentó eventos específicos.

Indicadores técnicos

The Gentlemen tiene una huella técnica pública inusualmente rica para una operación RaaS relativamente joven. Halcyon publica hashes del locker, URL de leak site y patrones de comportamiento del binario en Go. Ransomware.live documenta 42 IoCs asociados a la operación. Cynet aportó hashes de drivers PoisonX3.sys y PoisonX4.sys. Gurucul y Hunt.io agregaron infraestructura de afiliados con dominios, IPs y componentes EtherRAT. Cyfar.ca amplió el set con hashes, IPs y fragmentos de línea de comandos.

La ausencia de algunos valores completos, como la URL exacta del leak site en todas las fuentes o los hashes íntegros de cada muestra publicada, no reduce la utilidad del conjunto. Para defensa, ya existen suficientes indicadores de infraestructura y comportamiento para reforzar reglas de detección en DNS, proxy, EDR y monitoreo de servicios expuestos.

Análisis para equipos de seguridad

La prioridad defensiva frente a The Gentlemen no está en el momento de la cifración, sino en las horas y días anteriores. El material muestra que el actor suele permanecer entre 4 y 14 días en la red antes de detonar el ransomware y que inicia la exfiltración entre 48 y 72 horas antes del cifrado. Esto obliga a tratar como señales de alto valor cualquier comportamiento de reconocimiento, acceso transversal y lectura masiva que aparezca en cuentas de administración o en conexiones VPN inusuales.

El primer bloque de mitigación debe concentrarse en la superficie de acceso. El research es muy claro respecto de Fortinet FortiGate, FortiOS, FortiProxy, Citrix NetScaler ADC y SonicWall SSL VPN. También aparece ConnectWise ScreenConnect, más herramientas RMM comprometidas y RDP expuesto. En términos prácticos, eso implica aplicar parches con prioridad alta, revisar exposición pública de consolas remotas, cortar accesos innecesarios y revisar la autenticación multifactor en todos los puntos de entrada. El caso colombiano demuestra que la explotación de appliances de borde sigue siendo una puerta de entrada de alto retorno para el actor.

El segundo bloque es de detección conductual. DataEnforce enumera señales muy accionables, como lectura o descarga masiva por una sola cuenta, accesos a repositorios de múltiples filiales, autenticaciones anómalas en VPN, ejecución de Advanced IP Scanner o Nmap desde contextos administrativos, transferencia saliente sostenida a endpoints cloud desconocidos e intentos de desactivar protección endpoint o borrar logs. A eso hay que sumar la aparición de vssadmin, wmic, PsExec, WMI, NETLOGON, creación de servicios extraños, drivers de kernel no firmados o poco habituales y cualquier patrón de BYOVD. Si la organización tiene telemetría EDR bien calibrada, The Gentlemen deja una secuencia bastante reconocible antes del cifrado.

El tercer bloque es de contención de impacto. El uso de un payload en Go con contraseña específica sugiere un operador que intenta evitar propagación indiscriminada, pero al mismo tiempo apunta a un despliegue deliberado sobre múltiples hosts. Conviene segmentar privilegios administrativos, reducir la capacidad de lectura transversal en repositorios compartidos, revisar cuentas con permisos excesivos en cloud y endurecer el acceso a backups. Security Arsenal y Cynet muestran que la desactivación de copias de sombra y la manipulación de soluciones de seguridad forman parte de la cadena, por lo que la protección de respaldo debe asumirse como un objetivo primario del atacante, no como un activo auxiliar.

El cuarto bloque es de caza activa sobre infraestructura de afiliados. Gurucul, Hunt.io y CyberPress muestran que The Gentlemen no actúa solo con el binario de cifrado, sino con herramientas de staging, reverse shell, C2 y exfiltración apoyadas en dominios e IPs concretas. El caso EtherRAT, además, introduce un componente de C2 mediante contratos inteligentes en Ethereum, lo que complica el bloqueo puramente perimetral. Para equipos SOC, esto significa que DNS, proxy y telemetría de salida son tan importantes como el endpoint.

La prioridad táctica, entonces, queda en este orden, parches en superficie de borde, MFA en accesos remotos, monitoreo de exfiltración y conducta administrativa, endurecimiento de privilegios, protección de backups y caza de drivers o servicios anómalos. En América Latina, donde muchas intrusiones del actor se apoyan en perímetros expuestos y credenciales reutilizadas, ese orden tiene más valor que cualquier regla genérica sobre ransomware.