The Gentlemen ransomware crece y amplía ataques a 77 países con 580 víctimas
El ransomware The Gentlemen, activo desde 2025, ha afectado a 580 víctimas en 77 países, destacando su expansión y nuevas técnicas para evadir defensas.
The Gentlemen, un programa de ransomware como servicio (RaaS) activo desde al menos julio de 2025, ha incrementado significativamente su alcance, afectando a 580 víctimas en 77 países, según investigaciones de Palo Alto Unit 42. Este grupo criminal ha evolucionado su modelo y técnicas, aumentando su impacto global en sectores críticos como la manufactura.
Por qué importa: La rápida expansión y sofisticación de The Gentlemen evidencian la creciente amenaza que representan los RaaS para la seguridad global, especialmente en infraestructuras esenciales.
Lo esencial
The Gentlemen opera desde 2025 como un RaaS con variantes en C y Go para múltiples sistemas.
Ha afectado a 580 víctimas en 77 países, con 103 en la industria manufacturera.
Utiliza técnicas avanzadas como un backdoor personalizado y un framework para evadir detección.
Imagen de referencia: Palo Alto Unit 42.
Transición a modelo RaaS y estructura operativa
Originalmente un afiliado conocido como ArmCorp del ransomware Qilin (también llamado Spikey Scorpius), The Gentlemen se transformó en un modelo RaaS privado alrededor de septiembre de 2025. Su esquema ofrece a los afiliados un pago del 90% de los rescates, superior al estándar del 70-80%, lo que ha atraído a numerosos colaboradores. Se estima que el grupo cuenta con alrededor de 20 operadores activos.
Técnicas de ataque y evasión sofisticadas
El grupo emplea múltiples métodos para obtener acceso inicial, incluyendo explotación de vulnerabilidades en dispositivos perimetrales como firewalls y VPNs, ataques de fuerza bruta, uso de credenciales robadas y colaboración con brokers de acceso inicial (IABs). Además, han desarrollado un backdoor en Go y un framework llamado "GentleKiller" para desactivar soluciones de detección y respuesta en endpoints (EDR). También se sospecha el uso de vulnerabilidades zero-day para mejorar su capacidad de evasión.
Expansión y reclutamiento a través de BreachForums
En mayo de 2026, The Gentlemen anunció una alianza con el foro BreachForums, gestionado por HasanBroker, para reclutar afiliados, testers de penetración y brokers de acceso inicial. Esta estrategia ha facilitado la expansión de su red y la diversificación de sus ataques.
Impacto global y sectores afectados
Desde su inicio, The Gentlemen ha reclamado 580 víctimas en 77 países, con un impacto notable en la industria manufacturera, que representa 103 de los casos. Este sector es especialmente vulnerable debido a la necesidad de mantener la continuidad operativa, lo que puede aumentar la presión para pagar rescates.
Preguntas frecuentes sobre The Gentlemen ransomware
¿Qué lenguajes de programación utiliza The Gentlemen?
Sus variantes están escritas en C y Go, lo que les permite atacar diferentes sistemas operativos y entornos virtuales.
¿Cómo reclutan nuevos afiliados?
Mediante una alianza con BreachForums, donde buscan afiliados, testers y brokers para ampliar su red de ataques.
