Del código al modelo corporativo: Cómo The Gentlemen convirtió el Ransomware en un negocio de escala global.
El ransomware ha dejado de ser únicamente un problema de malware. En los últimos años, los grupos de ciberdelincuentes han transformado este tipo de amenaza en operaciones organizadas que combinan acceso inicial, robo de credenciales, explotación de vulnerabilidades, movimiento lateral, extracción de información y extorsión. El objetivo ya no consiste simplemente en cifrar archivos, sino en construir una operación capaz de generar el mayor impacto económico posible.
The Gentlemen es un ejemplo reciente de esta evolución. La investigación publicada por Barracuda muestra cómo este grupo ha conseguido crecer rápidamente mediante un modelo de Ransomware-as-a-Service (RaaS), apoyándose en afiliados, accesos comprometidos y técnicas que, en muchos casos, utilizan herramientas legítimas presentes dentro de las propias organizaciones. Para agosto de 2026, The Gentlemen había reclamado más de 750 víctimas a nivel mundial, convirtiéndose en una operación que merece especial atención. Investigación de Barracuda sobre The Gentlemen ransomware
El ransomware ya no funciona como antes
Durante mucho tiempo, la imagen más común de un ataque de ransomware era relativamente sencilla: un archivo malicioso ingresaba a un equipo, cifraba la información y posteriormente aparecía una nota solicitando un pago para recuperar los archivos. Sin embargo, las campañas actuales son mucho más complejas. El cifrado suele representar solamente la etapa final de una intrusión que puede haber comenzado mucho antes.
Antes de llegar a ese punto, los atacantes necesitan encontrar una vía de entrada, identificar recursos importantes, comprometer cuentas, escalar privilegios, desplazarse por la red y localizar información que pueda utilizarse para incrementar la presión sobre la víctima. Por ello, una intrusión de ransomware puede entenderse como una cadena de acontecimientos en la que cada etapa genera señales que, correctamente analizadas, pueden permitir detectar el ataque antes de que alcance su objetivo.
The Gentlemen demuestra precisamente esta evolución. El grupo no depende únicamente de un código malicioso sofisticado; su capacidad está en combinar diferentes técnicas y recursos dentro de una operación organizada y escalable.
The Gentlemen y el modelo Ransomware-as-a-Service
Uno de los elementos que ayuda a explicar el crecimiento de The Gentlemen es su modelo de operación. De acuerdo con Barracuda, sus principales operadores cuentan con antecedentes dentro del ecosistema de ransomware y anteriormente estuvieron relacionados con una operación de afiliados conocida como ArmCorp, asociada principalmente con Qilin.
Posteriormente, The Gentlemen comenzó a operar como una marca independiente de Ransomware-as-a-Service. Este modelo permite que un grupo central proporcione infraestructura, herramientas y servicios mientras diferentes afiliados se encargan de realizar los ataques contra las organizaciones objetivo.
La ventaja para los atacantes es evidente: ya no necesitan que un mismo equipo realice cada etapa de la operación. Pueden distribuir responsabilidades y aumentar el número de ataques sin incrementar proporcionalmente su propia estructura. En el caso de The Gentlemen, Barracuda señala que los afiliados pueden conservar hasta el 90 % de los ingresos obtenidos mediante los rescates, creando un fuerte incentivo económico para atraer nuevos operadores.
Esto convierte al ransomware en algo más parecido a un modelo empresarial. Existe una plataforma, existen participantes con diferentes funciones y existe un mecanismo económico que permite mantener y ampliar la operación.
El acceso inicial: La puerta de entrada sigue siendo crítica
Aunque el modelo de negocio sea sofisticado, muchas de las técnicas utilizadas para obtener acceso inicial no son nuevas. Barracuda identifica entre los principales vectores asociados con The Gentlemen el compromiso de dispositivos perimetrales, particularmente equipos Fortinet, además del uso de credenciales VPN robadas o adquiridas y otros servicios expuestos a Internet.
También se han identificado campañas relacionadas con phishing, robo de credenciales y stealer logs, lo que demuestra que las identidades continúan siendo uno de los objetivos más importantes para los atacantes.
Esto plantea un desafío para las organizaciones. Una infraestructura puede contar con múltiples controles de seguridad y, aun así, mantener una puerta de entrada si existe un dispositivo vulnerable, una cuenta comprometida o un servicio expuesto de manera innecesaria.
Por esta razón, la protección contra ransomware no comienza cuando aparece el archivo malicioso. Comienza mucho antes, con la reducción de la superficie de ataque y la protección de los puntos que pueden proporcionar acceso a la organización.
Del acceso al movimiento lateral
Obtener acceso inicial es solamente el primer objetivo. Una vez dentro, el atacante necesita comprender el entorno y determinar cómo puede ampliar su control.
En esta etapa aparecen actividades como reconocimiento de la infraestructura, extracción de credenciales, escalamiento de privilegios y movimiento lateral. The Gentlemen ha sido asociado con el uso de herramientas como PowerShell, WMI, PsExec y Group Policy para desplazarse dentro de entornos Windows y Active Directory.
Aquí aparece uno de los problemas más importantes de la seguridad moderna: muchas de estas herramientas son completamente legítimas.
Un administrador puede utilizar PowerShell para automatizar una tarea, WMI para administrar sistemas o PsExec para realizar una operación remota. Por sí mismas, estas herramientas no indican necesariamente la presencia de un atacante.
El verdadero valor está en el contexto
La pregunta ya no debe ser únicamente si una herramienta es legítima o maliciosa, sino quién la está utilizando, desde qué dispositivo, contra qué sistemas, en qué momento y qué otras actividades están ocurriendo alrededor de esa acción.
Una ejecución de PowerShell puede ser normal. Una ejecución de PowerShell desde una cuenta comprometida, seguida por conexiones administrativas a múltiples servidores y una transferencia masiva de archivos, puede representar algo completamente diferente.
Por eso, detectar ransomware moderno requiere analizar comportamientos y relaciones entre eventos, no solamente identificar archivos maliciosos conocidos.
La información también parte del rescate
The Gentlemen utiliza un modelo de doble extorsión, una estrategia que ha cambiado considerablemente el impacto de los ataques de ransomware. En lugar de depender exclusivamente del cifrado, los atacantes pueden extraer información antes de interrumpir los sistemas.
La información financiera, los datos de clientes, documentos corporativos y otros archivos sensibles pueden convertirse en una segunda herramienta de presión. Si la organización se niega a pagar, los atacantes pueden amenazar con publicar o utilizar los datos robados.
Esto significa que contar con respaldos sigue siendo fundamental, pero ya no resuelve por completo el problema.
Una empresa puede recuperar sus servidores y restablecer sus operaciones, pero no puede recuperar información que ya fue extraída de su infraestructura. La recuperación tecnológica y la protección de la información son, por lo tanto, dos desafíos diferentes que deben abordarse dentro de una misma estrategia de seguridad.
El verdadero objetivo: Llegar al impacto
Una vez que los atacantes han conseguido acceso, privilegios e información, comienza la fase en la que buscan maximizar el impacto.
Según la investigación de Barracuda, The Gentlemen puede afectar máquinas virtuales, bases de datos, sistemas de respaldo, contenedores y otros procesos críticos antes de desplegar el ransomware. La capacidad de utilizar mecanismos de administración existentes dentro de la organización permite que el ataque pueda propagarse de manera significativa antes de que el cifrado sea visible.
Este punto es especialmente importante porque demuestra que esperar a detectar el ransomware puede significar esperar demasiado.
Cuando aparece la nota de rescate, es posible que el atacante ya haya conseguido credenciales privilegiadas, haya recorrido diferentes segmentos de la red, haya extraído información y haya preparado la infraestructura para dificultar la recuperación.
La oportunidad de detener el ataque probablemente estuvo mucho antes
¿Qué pueden aprender las organizaciones de The Gentlemen?
El caso The Gentlemen demuestra que la defensa contra ransomware requiere una estrategia que abarque diferentes capas de seguridad. Proteger el perímetro continúa siendo fundamental, especialmente frente a dispositivos y servicios expuestos a Internet, pero debe complementarse con una adecuada protección de identidades, gestión de vulnerabilidades y monitoreo continuo.
También es necesario prestar atención al comportamiento de los usuarios y dispositivos. Una cuenta que comienza a acceder a sistemas que normalmente no utiliza, un equipo que establece conexiones administrativas inusuales o una transferencia masiva de información pueden ser señales importantes cuando se analizan dentro de su contexto.
La correlación de eventos adquiere aquí un papel fundamental. Una alerta aislada puede no representar una amenaza significativa, pero varias señales relacionadas pueden revelar una cadena de ataque.
Por ejemplo, un inicio de sesión anómalo seguido por una elevación de privilegios, ejecución remota, movimiento hacia servidores críticos y extracción de información representa un escenario muy diferente a cada uno de esos eventos analizado por separado.
La capacidad de conectar esas señales permite que los equipos de seguridad pasen de reaccionar ante incidentes individuales a identificar comportamientos que forman parte de una operación coordinada.
El ransomware evolucionó. La defensa tambien debe hacerlo
The Gentlemen no demuestra únicamente que existe un nuevo grupo de ransomware. Demuestra cómo el cibercrimen continúa adoptando modelos que le permiten operar a mayor escala.
Los atacantes pueden combinar credenciales comprometidas, vulnerabilidades conocidas, dispositivos expuestos, herramientas legítimas y servicios especializados para construir una operación capaz de afectar a múltiples organizaciones.
Frente a este escenario, agregar más herramientas de seguridad no necesariamente significa obtener mayor protección. Lo importante es conseguir visibilidad sobre lo que ocurre en el entorno y contar con la capacidad de relacionar los diferentes eventos que se producen durante una intrusión.
La pregunta ya no debería ser solamente:
¿Tenemos protección contra ransomware?
La pregunta más importante es:
¿Podemos identificar que un atacante está construyendo una cadena de ataque dentro de nuestra organización antes de que llegue al punto de impacto?
Detectar un comportamiento anómalo, identificar una cuenta comprometida, reconocer movimiento lateral y responder antes de que se produzca el cifrado puede marcar la diferencia entre un intento de intrusión y una interrupción operativa.
The Gentlemen representa una nueva realidad del ransomware: los atacantes ya no necesitan depender únicamente de malware sofisticado cuando pueden convertir técnicas conocidas en una operación organizada, rentable y escalable.
Por eso, la defensa también debe evolucionar. La visibilidad, la correlación de eventos, la detección basada en comportamiento y la capacidad de respuesta deben formar parte de una estrategia diseñada no solamente para detectar una amenaza, sino para interrumpirla antes de que se convierta en una crisis.
Conoce más en el siguiente video
