The Gentlemen

The Gentlemen es un operador de ransomware que emergió a mediados de 2025, consolidándose rápidamente como una de las operaciones de Ransomware-as-a-Service (RaaS) de más rápido crecimiento, estando en el Top 3 por volumetría de todos los grupos de ransomware durante el H1 de 2026. El grupo opera bajo el modelo de afiliados y recluta activamente a pentesters y individuos que tengan habilidades técnicas a través de múltiples foros underground (esto es bastante común). A pesar del poco tiempo que llevan activos, The Gentlemen ha reivindicado públicamente más de 330 víctimas, de las cuales aproximadamente 240 se han producido tan solo en los primeros meses de 2026, lo que evidencia que, pese a ser nuevos, los que operan bajo su nombre no lo son.

El grupo proporciona a sus afiliados una amplia baraja de opciones en lo que respecta a lockers, teniendo disponibles versiones multiplataforma para sistemas Windows, Linux, NAS y BSD. Además del principal locker que está desarrollado en Go, tienen un locker adicional escrito en C específicamente diseñado para hipervisores ESXi, cubriendo así los principales entornos presentes en infraestructuras corporativas (los favoritos de todos). El grupo también ofrece acceso a los EDR Killers, que son herramientas de desactivación de EDR (Endpoint Detection and Response) como el MDE de Microsoft (Defender para los amigos).

En lo que respecta a las negociaciones de rescate tras el incidente, las realizan a través de identificadores de Tox—un protocolo de mensajería descentralizada P2P con cifrado de extremo a extremo—en lugar de hacerlo en su propio DLS. The Gentlemen mantiene un sitio onion en la red Tor donde publica los datos de las víctimas que se niegan a pagar, y para hacer más palanca a la hora de negociar, publicitan la actividad en una cuenta de Twitter/X, esto suele ser conocido como name and shame.

En cuanto a su origen y afinidad, no se ha podido establecer una vinculación geopolítica clara ya que el grupo no ha hecho declaraciones políticas y, aunque sus víctimas se concentran mayoritariamente en Estados Unidos, Reino Unido y Alemania, no se ha confirmado si evita sistemáticamente Rusia o la Comunidad de Estados Independientes (CEI), algo que es más que común en otras OCGs. Por otra parte, y como se indicaba en el inicio, aunque no se ha identificado relación directa con otros actores establecidos, sus capacidades hacen pensar que podría tratarse de una operación formada por individuos ya establecidos y con capacidades.

Toolset & Comportamiento

En lo referente a su comportamiento durante los compromisos, el modus operandi del grupo se sustenta en el uso de credenciales válidas y la explotación de servicios expuestos a Internet para conseguir el acceso inicial. Una característica distintiva del grupo es la incorporación de SystemBC, un malware proxy que establece túneles SOCKS5 y actúa como canal encubierto para el deployment de payloads. Aunque no se ha determinado si SystemBC está integrado directamente en el ecosistema de The Gentlemen o por otra parte es una herramienta puntual de un afiliado concreto, su presencia indica que el grupo está aumentando su sofisticación. No en todos los ámbitos son tan originales, ya que también utilizan RMM tooling como el AnyDesk con contraseñas predefinidas y habilita el Escritorio Remoto (RDP) como mecanismos de persistencia secundaria.

El ransomware de The Gentlemen emplea un esquema híbrido de cifrado basado en X25519 y XChaCha20, generando un par de claves efímeras aleatorias para cada archivo. Los archivos de menos de 1 MB se cifran por completo, mientras que en archivos de mayor tamaño solo se cifran fragmentos parciales: aproximadamente el 9%, 3% o 1% según el modo de velocidad seleccionado por el afiliado (conocido como fast, superfast o ultrafast). Esta elección permite acelerar de forma notable el proceso a costa de no garantizar la inutilización total del archivo. Antes del cifrado, el malware termina procesos de bases de datos, copias de seguridad y virtualización, elimina las shadow copies y los registros de eventos de Windows. Como son gente de bien, la variante para ESXi apaga previamente las máquinas virtuales para garantizar que los discos puedan ser cifrados y no dejarse nada en el tintero.

La capacidad de propagación del ransomware es uno de los rasgos más destacados según algunos análisis, el binario incluye un argumento --spread que, cuando se le proporcionan credenciales de dominio, enumera todos los equipos del Active Directory y despliega el cifrador a través de seis canales paralelos: PsExec, WMI, tareas programadas remotas, servicios remotos y PowerShell mediante WinRM. El grupo también incorpora un argumento --gpo que, ejecutado desde un Controlador de Dominio, utiliza la propia infraestructura de Group Policy de Active Directory para detonar el ransomware de forma casi simultánea en todos los equipos unidos al dominio, una técnica que maximiza el impacto en entornos corporativos.

Entre los incidentes más notables del grupo a día de hoy, destaca el ataque contra el Complejo Energético de Oltenia (Complexul Energetic Oltenia), el mayor productor de energía a base de carbón de Rumanía, ocurrido el 25 de diciembre de 2025.

Para finalizar podemos entender este grupo como un nuevo contendiente para la cima del ecosistema de ransomware, dado que su sofisticación va incrementando y tienen capacidad para conseguir afiliados maduros. Al operar bajo el modelo de RaaS, es importante destacar que los análisis sobre sus comportamientos/procedimientos y victimología no suele ser muy útil ya que estos se alinean con el afiliado responsable de ese incidente que se analiza específicamente y no con el grupo como un "ente" individual.