The Gentlemen: RaaS mira LATAM

Resumo executivo

The Gentlemen se consolidou em 2026 como uma das operações de ransomware mais ativas do mercado criminal, com métricas que a colocam de forma consistente entre os atores com maior volume de vítimas reivindicadas. O material consolidado a descreve como uma operação de ransomware-as-a-service, operada por humanos, rastreada pela Microsoft Threat Intelligence como Storm-2697, com transição formal para um modelo de afiliados em setembro de 2025. Ao longo de 2026, passou de uma aparição recente para uma atividade massiva, com centenas de vítimas listadas em seu leak site e crescimento contínuo no número de reivindicações publicadas.

A característica mais estável da campanha é o modelo de dupla extorsão. Na prática, o The Gentlemen entra em redes corporativas, exfiltra dados sensíveis, cifra sistemas críticos e depois ameaça publicar as informações roubadas caso não receba o pagamento. Várias análises acrescentaram que, em determinados casos, o grupo escalou para uma lógica de pressão adicional, com contadores regressivos no leak site, publicações parciais de documentos e, em alguns relatórios, ameaças de DDoS. Isso o coloca em um patamar operacional mais agressivo do que o ransomware clássico, centrado apenas em indisponibilidade.

A expansão técnica também foi clara. O grupo trabalhou com um encryptor escrito em Go, ofuscado com Garble, com builds para Windows, Linux, BSD, NAS e ESXi, e com algoritmos como XChaCha20 e Curve25519 em diferentes famílias relacionadas. Sobre esse núcleo, a operação incorporou técnicas de evasão e desativação de defesas, incluindo exclusão de shadow copies, abuso de PsExec e WMI, desabilitação de antivírus e mecanismos compatíveis com BYOVD. Na prática, isso se traduz em uma cadeia de intrusão fortemente orientada à persistência, ao reconhecimento e à eliminação de barreiras antes da criptografia.

O perfil de alvos também é consistente. As fontes citam setores como manufatura, saúde, finanças, construção, energia, varejo, tecnologia, educação, seguros e governo. Em termos geográficos, a evidência consolidada mostra reivindicações na América do Norte, América do Sul, Europa, África e Ásia, com presença visível no México, Colômbia, Peru, Chile, Argentina e Brasil. Não se trata apenas de um ator com alcance global, mas de uma operação que encontrou na América Latina uma superfície de oportunidade concreta, sobretudo onde convergem serviços expostos, credenciais fracas, VPN sem correção e baixa tolerância operacional à interrupção.

No campo defensivo, o sinal mais repetido é que o The Gentlemen não depende de um único vetor. Ele combina exploração de vulnerabilidades de borda, acesso comprado, phishing, RDP exposto e abuso de ferramentas de administração remota. Essa mistura, somada à velocidade da exfiltração antes da criptografia, faz com que a detecção baseada apenas no momento da detonação do ransomware chegue tarde. A janela real de caça está antes, na telemetria de VPN, nos picos de leitura massiva de arquivos, na criação de sessões administrativas anômalas e no surgimento de ferramentas de reconhecimento e manipulação de defesas.

Contexto e antecedentes

O The Gentlemen aparece no material como uma operação surgida em meados de 2025, com primeiras referências entre julho e agosto daquele ano. ManageEngine, FortiGuard, Mallory.ai, DysruptionHub, BlackFog, Halcyon, Ransomware.live e outros perfis coincidem ao tratá-lo como uma operação RaaS, com passagem progressiva de uma fase fechada para um esquema de afiliados mais público. Alguns relatórios situam essa abertura formal em setembro de 2025. Outros destacam que sua origem pode estar na evolução da ArmCorp, antiga afiliada da Qilin, o que reforça a leitura de fragmentação do ecossistema e de migração de operadores com experiência prévia.

A relevância desse antecedente é dupla. Primeiro, ele explica a velocidade com que o grupo conseguiu escalar. Segundo, ajuda a entender por que seu playbook mistura técnicas tradicionais de ransomware com infraestrutura mais sofisticada de exfiltração, C2 e evasão. Em vez de um conjunto estático de ferramentas, o material mostra uma operação que adapta sua cadeia à superfície exposta de cada vítima, mas sempre sobre a mesma lógica de negócio, monetizar acesso, filtrar dados e forçar negociação.

O material também mostra que o grupo não se limitou a uma única família de malware. Há referências a um encryptor em Go ofuscado com Garble, a um toolkit multiplataforma para Windows, Linux, ESXi, BSD e NAS, a lockers adicionais, a variantes com autopropagação e a módulos de evasão com drivers maliciosos. Entre as observações mais consistentes estão o uso de GentleKiller, PoisonX3.sys, PoisonX4.sys e anticheatG13.sys, todos voltados a enfraquecer soluções de segurança antes da execução da criptografia.

Tabela de fatos-chave

Linha do tempo da operação

Cadeia de ataque e TTPs

O padrão operacional que emerge da pesquisa é consistente e pouco improvisado. O acesso inicial costuma entrar pelo perímetro, não por um endpoint isolado. Cyware identifica três vetores recorrentes, Citrix NetScaler ADC (CVE-2025-5777), SonicWall SSL VPN (CVE-2024-40766) e Fortinet FortiOS (CVE-2024-55591). Security Arsenal amplia o quadro com Check Point e Cisco Secure Firewall, além de ConnectWise ScreenConnect (CVE-2024-1708). A isso se somam credenciais roubadas ou compradas, RDP exposto, campanhas de phishing com documentos com macros e abuso de serviços de administração remota como ScreenConnect ou ferramentas do tipo RMM.

Depois de entrar, a operação busca persistência e reconhecimento. A Intel471 descreve o playbook como entrada por serviços expostos à internet, mapeamento de rede, identificação de contas de administrador de domínio, desativação de ferramentas de segurança e distribuição do payload por NETLOGON. A DataEnforce, por sua vez, aponta leitura ou download massivo de documentos a partir de uma única conta, acesso transversal a repositórios de várias subsidiárias, autenticações anômalas em VPN e transferências contínuas para endpoints cloud desconhecidos. Isso sugere foco claro na etapa anterior à criptografia, quando ainda existe margem para contenção.

A desativação de defesas é outro traço central. A Cynet documenta o uso de PoisonX3.sys e PoisonX4.sys, instalados como serviços em HKLM\SYSTEM\CurrentControlSet\Services\PoisonX, para manipular processos, rede, arquivos e memória e encerrar serviços de segurança. A Cybersecurity News adiciona o anticheatG13.sys, um driver de kernel usado para encerrar quase 180 processos relacionados à segurança. A Security Arsenal menciona a exclusão de shadow copies com vssadmin ou wmic, a desativação de backups e antivírus e comportamentos próximos a BYOVD. Esse conjunto não parece acessório, ele é central para abrir caminho à criptografia.

O ransomware em si também está bem caracterizado. ManageEngine, DataEnforce, Infobae, Mallory.ai e DEFOnline concordam no uso de Go e de ofuscação com Garble. Segundo a fonte, o cifrador possui builds para Windows, Linux, BSD, NAS, ESXi e ambientes virtualizados, e em alguns casos exige uma senha específica para ser executado. Isso limita a propagação descontrolada e dificulta a análise em sandbox. RST Cloud e Mallory.ai acrescentam o uso de XChaCha20 e Curve25519, enquanto a DEFOnline destaca capacidades agressivas de autopropagação dentro da rede comprometida.

A exfiltração costuma anteceder a criptografia entre 48 e 72 horas, segundo a Security Arsenal, e a permanência total na rede varia entre 4 e 14 dias antes da detonação. Essa janela é especialmente relevante para detecção e resposta, porque a atividade anterior à criptografia é onde aparecem os padrões mais exploráveis, como enumeração de serviços, leituras massivas, movimentação lateral e exclusão de logs. O modelo não busca o golpe instantâneo. Busca a degradação progressiva da defesa para chegar à fase de extorsão com o máximo de controle e de dados extraídos.

Impacto regional

Panorama regional

A trilha regional do The Gentlemen é ampla e está bem documentada no material. Não se trata de um ator concentrado em uma única geografia, mas de uma operação que encontrou terreno fértil em vários mercados ao mesmo tempo. As fontes agregadas o colocam com vítimas na América do Norte, América do Sul, Europa, África e Ásia. Nesse mapa, a América Latina aparece como uma área particularmente exposta, tanto pela presença de vítimas concretas quanto pela recorrência de técnicas que exploram superfícies muito comuns na região, como Fortinet FortiGate, RDP exposto, VPN sem patch e contas administrativas com privilégios excessivos.

O padrão latino-americano não é homogêneo. Em alguns casos, como Ecopetrol, há confirmação corporativa parcial e alertas regulatórios posteriores. Em outros, como Oldelval, o incidente foi contido operacionalmente, mas continuou como uma reivindicação pública do grupo. No Peru, a Prefeitura de San Luis aparece em vários registros como listagem de leak site, embora sem confirmação oficial de violação. No Chile, a empresa mineradora Grupo Minero Las Cenizas ficou marcada como reivindicação não confirmada. No Brasil, Intranet Gov Brasil figura como uma publicação de leak site ainda sem confirmação governamental. O México, por sua vez, foi exposto a uma intrusão contra a Advanced Marketing, também sem todos os detalhes técnicos divulgados.

Colômbia

Ecopetrol é o caso regional mais relevante e também o mais complexo de verificar. A empresa detectou em 17 de julho de 2026 um acesso irregular que resultou no download não autorizado de dados associados a aproximadamente 3.300 contas de usuário e a ambientes de nuvem de 15 empresas do grupo. O material disponível concorda que não houve criptografia em massa nem impacto direto na operação de produção, mas houve exfiltração de dados e extorsão pública posterior.

O The Gentlemen reivindicou em seu site a exfiltração de mais de 1 TB e 65 milhões de documentos. Esse número, no entanto, não foi validado de forma independente e deve ser tratado como uma alegação do ator. O que importa, do ponto de vista da defesa regional, é que o caso confirmou a combinação entre acesso irregular, pressão extorsiva e publicação de informações, além de motivar respostas oficiais. O ColCERT emitiu em 18 de julho de 2026 um alerta de risco alto para o setor empresarial colombiano e reforçou recomendações sobre correção urgente de dispositivos Fortinet FortiGate, outras VPNs e ativação obrigatória de autenticação em dois fatores.

O caso também ajudou a consolidar a associação pública entre The Gentlemen e uma abordagem de intrusão orientada ao perímetro. A DataEnforce descreveu o incidente como uma intrusão atribuída em reportagens públicas ao grupo e lembrou que o ColCERT já havia vinculado o The Gentlemen a mais de 200 ataques em 50 países até abril de 2026. No plano narrativo, Ecopetrol funcionou como gatilho de maior visibilidade regional para uma operação que já vinha crescendo.

Argentina

Oldelval aparece como o caso argentino mais sólido no material. A empresa foi listada pelo The Gentlemen em 23 de julho de 2026, com referência à exfiltração de arquivos internos durante um ataque de ransomware. Os relatórios públicos indicam que a companhia não divulgou uma notificação detalhada de violação e que ainda não havia clareza sobre o número de pessoas afetadas ou o volume de dados comprometidos. Ainda assim, a comunicação da própria empresa à Comissão Nacional de Valores descreveu impacto focado em sistemas administrativos, enquanto o transporte de petróleo continuou operando sem interrupções e o incidente foi declarado como totalmente contido.

No plano técnico, a DEFOnline descreve o malware associado como desenvolvido em Go, ofuscado com Garble e capaz de autopropagação agressiva dentro da rede, com criptografia híbrida rápida baseada em Curve25519 e XChaCha20. The Rio Times e FalconFeeds acrescentaram o contexto de uma reivindicação pública do grupo, mas sem confirmação oficial de autoria. O valor analítico do caso está em mostrar um cenário em que a continuidade operacional é preservada, mas a superfície administrativa fica exposta e a pressão do leak site continua ativa.

Chile

O Chile aparece no material como uma geografia com várias reivindicações, mas com pouca confirmação pública. A Security Chu mencionou supostos ataques confirmados contra La Cámara Seguros, o INDH e a Corporación Colina, embora sem detalhes técnicos ou validação independente. O caso mais concreto é o do Grupo Minero Las Cenizas, listado pelo The Gentlemen em 31 de julho de 2026 com a alegação de exfiltração de arquivos internos. A GalaxyWarden informou que a entrada não detalhava número de registros nem tipos de informação roubada e que o incidente seguia não confirmado, porque a empresa não havia emitido notificação de violação.

O valor do Chile nesse corpus é metodológico. Ele mostra como os leak sites podem incorporar nomes corporativos ou institucionais que depois circulam em meios de comunicação e agregadores, mas sem respaldo de confirmação oficial. Para uma equipe de inteligência, isso exige separar imediatamente as alegações do ator, as menções na mídia e os fatos validados.

Peru

A Municipalidad Distrital de San Luis, em Lima, foi listada pelo The Gentlemen em 31 de julho de 2026. GalaxyWarden, Dexpose, Hookphish, Ransomware.live, RecentBreaches e BreachSense concordam que se tratou de uma reivindicação do ator com ameaça de publicação de dados sensíveis, mas sem confirmação oficial de violação por parte da prefeitura. A Ransomware.live registrou 38 usuários comprometidos, embora também não haja detalhes públicos verificáveis sobre o alcance do vazamento.

O interessante do caso é a convergência entre o que foi reportado por veículos e o que aparece na narrativa do grupo. Houve também um relatório prévio na rede social X que mencionava o ataque aos sistemas informáticos da prefeitura em 24 de julho, com impacto temporário em consultas e pagamentos online e ativação de protocolos de recuperação. Esse dado não basta para confirmar atribuição, mas reforça a ideia de que a superfície de serviços locais é uma via frequente de pressão.

A IntelFusions indicou ainda que, entre 30 e 31 de julho, o The Gentlemen publicou novas vítimas, entre elas governos municipais no Brasil e no Peru, em meio a uma escalada de atividade. Em termos regionais, o Peru aparece assim como um ambiente em que a operação combina reivindicações de leak site com baixa visibilidade oficial e possível exposição de infraestruturas municipais.

Brasil

O Brasil é outro foco recorrente no material. O caso Intranet Gov Brasil, listado em 7 de agosto de 2026, foi apresentado pelo The Gentlemen como uma intrusão na rede interna e no portal digital usado pelo governo federal brasileiro. GalaxyWarden e Ransomware.live esclareceram que, à época da publicação, não havia confirmação pública por parte do governo nem da Serpro ou da Dataprev, e classificaram o caso como uma reivindicação não confirmada.

O valor desse registro está na combinação entre sensibilidade institucional e falta de validação. É um bom exemplo de como um leak site pode tentar amplificar o impacto de uma reivindicação em ambientes governamentais para forçar atenção da mídia, mesmo quando a evidência disponível se limita ao anúncio do próprio ator. A IntelFusions também apontou que, em 30 e 31 de julho, o grupo publicou governos municipais do Brasil e do Peru dentro de uma escalada de atividade, o que sugere que a região estava sendo pressionada com mais força nessas datas.

México

O México aparece com a Advanced Marketing, empresa distribuidora e editorial de livros com domínio advmkt.com.mx, listada pelo The Gentlemen em 25 de julho de 2026. GalaxyWarden, Dexpose e HackerFeeds concordam que houve uma reivindicação explícita do grupo, com ameaça de vazamento de dados sensíveis caso as negociações não fossem iniciadas. O caso foi classificado como de severidade média por alguns agregadores, mas, no fim de julho, não haviam sido publicados valores de resgate, volumes de dados ou indicadores técnicos detalhados.

A relevância desse incidente é tática. A GalaxyWarden observa que o The Gentlemen costuma atacar empresas médias na América Latina e na Europa por meio de phishing ou serviços RDP explorados, seguidos de uma exfiltração rápida de arquivos sensíveis antes da criptografia. Esse enfoque combina com o perfil de muitas organizações médias mexicanas, onde o perímetro exposto e a gestão de acessos remotos seguem como pontos de entrada de alto retorno para operadores de ransomware.

Estados Unidos

Os Estados Unidos aparecem em múltiplas fontes como mercado prioritário e também como origem de vítimas concretas. A Mallory.ai identificou a Control Concepts Technology, com sede no Texas, como vítima relacionada a ransomware atribuída ao The Gentlemen, e a TopMark Funding, com sede na Califórnia, como outra violação de dados associada ao grupo. Também relatou a Kenaitze Indian Tribe, no Alasca, como vítima datada de 31 de julho de 2026, além de outras organizações norte-americanas como a Promatrix.

A Security Arsenal afirmou que, dentro de um lote de 25 novas vítimas, Alemanha e Estados Unidos foram os mercados primários do grupo, com entidades entre 50 e 500 funcionários. BankInfoSecurity e S-RM também colocaram o The Gentlemen como uma operação prolífica antes de sofrer sua própria exposição interna. Embora o foco desta investigação seja a América Latina, os Estados Unidos funcionam como referência operacional do nível de maturidade e escala do ator.

Países sem cobertura verificável suficiente

Não foram identificados fatos verificáveis adicionais na pesquisa para Paraguai, Bolívia, e o Uruguai não apresentou eventos específicos.

Indicadores técnicos

The Gentlemen tem uma pegada técnica pública incomumente rica para uma operação RaaS relativamente jovem. A Halcyon publica hashes do locker, URL do leak site e padrões de comportamento do binário em Go. A Ransomware.live documenta 42 IoCs associados à operação. A Cynet trouxe hashes dos drivers PoisonX3.sys e PoisonX4.sys. Gurucul e Hunt.io acrescentaram infraestrutura de afiliados com domínios, IPs e componentes EtherRAT. A Cyfar.ca ampliou o conjunto com hashes, IPs e trechos de linha de comando.

A ausência de alguns valores completos, como a URL exata do leak site em todas as fontes ou os hashes integrais de cada amostra publicada, não reduz a utilidade do conjunto. Para defesa, já há indicadores suficientes de infraestrutura e comportamento para reforçar regras de detecção em DNS, proxy, EDR e monitoramento de serviços expostos.

Análise para equipes de segurança

A prioridade defensiva diante do The Gentlemen não está no momento da criptografia, mas nas horas e dias anteriores. O material mostra que o ator costuma permanecer entre 4 e 14 dias na rede antes de acionar o ransomware e que inicia a exfiltração entre 48 e 72 horas antes da criptografia. Isso obriga a tratar como sinais de alto valor qualquer comportamento de reconhecimento, acesso transversal e leitura massiva que surja em contas de administração ou em conexões VPN incomuns.

O primeiro bloco de mitigação deve se concentrar na superfície de acesso. A pesquisa é clara em relação a Fortinet FortiGate, FortiOS, FortiProxy, Citrix NetScaler ADC e SonicWall SSL VPN. Também aparecem ConnectWise ScreenConnect, outras ferramentas RMM comprometidas e RDP exposto. Na prática, isso implica aplicar patches com prioridade alta, revisar a exposição pública de consoles remotas, cortar acessos desnecessários e verificar a autenticação multifator em todos os pontos de entrada. O caso colombiano mostra que a exploração de appliances de borda continua sendo uma porta de entrada de alto retorno para o ator.

O segundo bloco é de detecção comportamental. A DataEnforce lista sinais bastante acionáveis, como leitura ou download massivo por uma única conta, acessos a repositórios de várias subsidiárias, autenticações anômalas em VPN, execução de Advanced IP Scanner ou Nmap a partir de contextos administrativos, transferência contínua de saída para endpoints cloud desconhecidos e tentativas de desativar proteção de endpoint ou apagar logs. A isso é preciso somar o surgimento de vssadmin, wmic, PsExec, WMI, NETLOGON, criação de serviços estranhos, drivers de kernel não assinados ou pouco usuais e qualquer padrão de BYOVD. Se a organização tem telemetria EDR bem calibrada, o The Gentlemen deixa uma sequência bastante reconhecível antes da criptografia.

O terceiro bloco é de contenção de impacto. O uso de um payload em Go com senha específica sugere um operador que tenta evitar propagação indiscriminada, mas ao mesmo tempo aponta para um deslocamento deliberado sobre múltiplos hosts. Vale segmentar privilégios administrativos, reduzir a capacidade de leitura transversal em repositórios compartilhados, revisar contas com privilégios excessivos na nuvem e endurecer o acesso a backups. A Security Arsenal e a Cynet mostram que a exclusão de shadow copies e a manipulação de soluções de segurança fazem parte da cadeia, então a proteção de backup deve ser tratada como objetivo primário do atacante, não como ativo secundário.

O quarto bloco é de caça ativa à infraestrutura de afiliados. Gurucul, Hunt.io e CyberPress mostram que o The Gentlemen não atua apenas com o binário de criptografia, mas com ferramentas de staging, reverse shell, C2 e exfiltração apoiadas em domínios e IPs específicos. O caso EtherRAT, além disso, introduz um componente de C2 por meio de contratos inteligentes na Ethereum, o que complica o bloqueio puramente perimetral. Para equipes de SOC, isso significa que DNS, proxy e telemetria de saída são tão importantes quanto o endpoint.

A prioridade tática, então, fica nesta ordem, patches na superfície de borda, MFA em acessos remotos, monitoramento de exfiltração e comportamento administrativo, endurecimento de privilégios, proteção de backups e caça a drivers ou serviços anômalos. Na América Latina, onde muitas intrusões do ator se apoiam em perímetros expostos e credenciais reutilizadas, essa ordem tem mais valor do que qualquer regra genérica sobre ransomware.