Imagina que un lunes por la mañana un empleado llega a su oficina, enciende su computadora y comienza a trabajar con normalidad. Nadie nota nada extraño. Los sistemas responden, el correo funciona y los archivos siguen ahí.
Sin embargo, en algún punto de la red, un atacante ya consiguió entrar. Durante las siguientes horas no necesariamente aparecerá una pantalla roja ni una alerta evidente: puede dedicarse a reconocer el entorno, conseguir privilegios, desplazarse hacia otros equipos, robar información y preparar el golpe final.
En uno de los ataques analizados por Sophos, empresa especializada en ciberseguridad cuyo equipo de investigación Sophos X-Ops estudia amenazas y operaciones de ciberdelincuencia, ese proceso avanzó hasta el despliegue del ransomware en menos de 24 horas.
La mediana observada por Sophos X-Ops en los incidentes estudiados fue de aproximadamente dos días. El problema, por tanto, no es solamente que el ransomware pueda cifrar archivos, sino que cada vez tiene menos necesidad de permanecer oculto durante semanas antes de hacerlo.
El protagonista de esta historia es The Gentlemen, una operación de Ransomware-as-a-Service (RaaS) que Sophos identifica con el grupo GOLD SHERWOOD. Bajo este modelo, los operadores mantienen la infraestructura, las herramientas y el ransomware, mientras que otros ciberdelincuentes (los llamados afiliados) realizan las intrusiones contra las víctimas.
Se trata de un esquema que se parece más a una franquicia criminal que al hacker solitario que durante años apareció en el imaginario popular: unos desarrollan y mantienen la plataforma; otros consiguen el acceso y ejecutan los ataques. Sophos señala que The Gentlemen comenzó a operar como RaaS a mediados de 2025 y que utiliza un modelo de doble extorsión, en el que los datos pueden ser robados antes de cifrar los sistemas.
La dimensión de esta operación también ayuda a entender por qué merece atención. Sophos reportó que, hasta finales de julio de 2026, el sitio de filtraciones asociado con The Gentlemen había acumulado 683 nombres de víctimas, después de que la actividad publicada aumentara de manera importante durante 2026. La propia investigación advierte que las víctimas pertenecen a sectores diversos, lo que apunta a una operación oportunista, es decir que, los afiliados pueden buscar organizaciones en función del acceso que logren obtener, en lugar de concentrarse necesariamente en una sola industria.
The Gentlemen y la carrera contra el tiempo: así comienza el ataque
Para entender la velocidad de The Gentlemen hay que dejar atrás la idea de que un ataque de ransomware comienza cuando aparece la nota de rescate. En realidad, ese suele ser uno de los últimos capítulos. Antes puede existir una cadena de acciones prácticamente invisibles para un usuario común como conseguir una puerta de entrada, reconocer la red, obtener credenciales, elevar privilegios, desplazarse hacia otros equipos, extraer información, neutralizar mecanismos de seguridad y preparar el cifrado.
El primer paso puede ser tan aparentemente rutinario como conectarse a una VPN con credenciales robadas. Una VPN (Virtual Private Network) crea un canal que permite a usuarios autorizados acceder de forma remota a recursos internos de una organización. El problema aparece cuando esas credenciales terminan en manos de un atacante. Sophos documentó un caso en el que un actor consiguió entrar mediante credenciales comprometidas para autenticarse en una VPN de Fortinet; la ausencia de autenticación multifactor (MFA) facilitó el acceso. Durante la hora posterior se registraron varias sesiones desde diferentes direcciones IP, una señal de que el atacante estaba comprobando y consolidando su acceso.
A partir de ahí aparece uno de los conceptos más importantes para comprender este tipo de incidentes como el movimiento lateral, que dicho de manera sencilla, significa desplazarse de un equipo comprometido hacia otros sistemas dentro de la organización. Es como si alguien entrara a un edificio utilizando una tarjeta robada y, en lugar de limitarse a una sola oficina, utilizara nuevas puertas y credenciales para recorrer pisos, departamentos y áreas restringidas.
Aquí entra en escena Active Directory, una tecnología de Microsoft ampliamente utilizada para administrar usuarios, equipos, permisos y recursos dentro de una red empresarial. Para un atacante, comprometer cuentas con privilegios elevados dentro de ese entorno puede equivaler a conseguir una llave maestra: cuanto mayores sean los permisos obtenidos, más sistemas podrán quedar bajo su control.
El atacante tampoco necesita utilizar herramientas desconocidas o evidentemente maliciosas para cada movimiento. Una de las características de estas operaciones es el uso de herramientas legítimas que ya forman parte del entorno empresarial.
PowerShell, por ejemplo, es una herramienta de línea de comandos y automatización de Windows que permite administrar sistemas mediante scripts. En manos de un administrador es una herramienta legítima; en manos de un intruso con privilegios puede convertirse en una vía para ejecutar acciones maliciosas sin tener que introducir necesariamente un programa extraño en el equipo.
La rapidez también se observa en la forma en que los atacantes preparan sus herramientas. Sophos encontró archivos asociados con The Gentlemen almacenados en C:\PerfLogs, una carpeta legítima de Windows relacionada con registros de rendimiento. Para un empleado, esa ruta probablemente no significa nada; para un administrador puede parecer un directorio rutinario que no merece atención especial. Esa apariencia permitió utilizarlo como zona de preparación para herramientas de descubrimiento, extracción de información y evasión de defensas.
Y mientras el atacante se mueve por la red, también puede comenzar a sacar información. Esto es importante porque The Gentlemen emplea un esquema de doble extorsión: Es decir que no solamente amenaza con dejar inutilizados los archivos mediante cifrado, sino que puede amenazar con publicar los datos robados.
Antes del cifrado: cómo los atacantes preparan el terreno
La siguiente etapa explica por qué el ransomware moderno puede resultar tan difícil de detener cuando ya ha conseguido privilegios importantes. Antes de lanzar el cifrado, los atacantes pueden intentar apagar las alarmas. En el caso de The Gentlemen, Sophos observó intentos de detener procesos de antivirus y EDR, además de acciones destinadas a destruir respaldos y registros. Esto cambia completamente la naturaleza del ataque: la organización ya no está intentando detectar únicamente el ransomware, sino también impedir que el atacante apague las herramientas que podrían descubrirlo.
Un EDR (Endpoint Detection and Response) es una solución de seguridad instalada en los endpoints, es decir, dispositivos conectados a la organización como computadoras, laptops y determinados servidores. Su función va mucho más allá de buscar archivos maliciosos conocidos, también registra comportamientos, procesos y conexiones para ayudar a identificar actividades sospechosas y responder ante ellas. Por eso, para un atacante que pretende desplegar ransomware, neutralizar el EDR puede significar eliminar uno de los principales obstáculos que podrían detenerlo.
Una investigación de ESET, compañía especializada en ciberseguridad y desarrolladora de soluciones de protección contra malware y otras amenazas digitales, añade un elemento particularmente preocupante: Su unidad ESET Research, dedicada a investigar campañas de malware, grupos de ciberdelincuencia y nuevas técnicas de ataque, publicó en junio de 2026 un análisis de varios meses sobre el arsenal utilizado por The Gentlemen para neutralizar soluciones EDR.
Los investigadores, encabezados en este estudio por el investigador sénior de malware Jakub Souček, identificaron un framework interno al que denominaron GentleKiller, además de otras herramientas de terceros o filtradas que forman parte de la misma suite. La investigación, publicada en el portal especializado de ESET WeLiveSecurity, también fue contrastada con información obtenida tras una filtración de datos internos de la propia banda en mayo de 2026.
Lo relevante de este hallazgo es que The Gentlemen no parece limitar su oferta de RaaS al ransomware utilizado para cifrar los archivos. De acuerdo con ESET Research, los operadores desarrollan y mantienen una suite de herramientas EDR killer que ponen a disposición de sus afiliados. Entre ellas se encuentra GentleKiller, del que ESET identificó al menos ocho variantes que utilizan diferentes controladores vulnerables o maliciosos. La organización también documentó el uso operativo de herramientas externas como HexKiller, ThrottleBlood y HavocKiller.
En otras palabras, el afiliado no recibe únicamente la herramienta para ejecutar el cifrado: puede disponer también de recursos destinados a interferir con las tecnologías de seguridad que podrían detectar el ataque. Esto muestra cómo el modelo RaaS puede convertirse en un servicio más completo, en el que los operadores proporcionan diferentes componentes necesarios para facilitar una intrusión.
Este punto resulta especialmente importante porque permite entender qué ocurre antes de que aparezca la nota de rescate. Si una empresa utiliza una solución EDR para vigilar el comportamiento de sus equipos, desactivarla puede dificultar la detección de actividades sospechosas y darle al atacante mayor libertad para continuar avanzando.
ESET explica que, a diferencia de muchas operaciones de ransomware en las que los afiliados deben conseguir por su cuenta herramientas capaces de desactivar EDR, The Gentlemen mantiene y proporciona directamente este tipo de recursos. La investigación considera esta característica una de las particularidades que distinguen a la operación dentro del ecosistema RaaS observado durante 2026.
Sophos también observó el abuso de PowerShell para modificar las exclusiones de Windows Defender y evitar que determinados archivos o procesos fueran examinados. En otros casos se realizaron cambios destinados a desactivar la protección en tiempo real. Esto resulta especialmente relevante porque demuestra que el atacante no necesariamente necesita “romper” el antivirus en el sentido tradicional, ya que si consigue suficientes privilegios, puede intentar cambiar su configuración para que deje de mirar precisamente donde está ocurriendo la actividad maliciosa.
Pero apagar el EDR no es suficiente, también hay que intentar borrar las huellas. Sophos documentó incidentes en los que The Gentlemen eliminó registros de eventos de Windows, incluidos aquellos relacionados con autenticaciones, ejecución de servicios, elevación de privilegios y creación de procesos.
Cuando las defensas se convierten en el siguiente objetivo
Llegados a este punto aparece una pregunta fundamental: ¿qué sucede si la empresa cuenta con copias de seguridad? Durante años, una de las recomendaciones más importantes frente al ransomware ha sido precisamente realizar backups. Un backup es una copia de los datos que permite restaurarlos después de una pérdida, daño o ataque. Sin embargo, tener una copia no significa automáticamente estar protegido. Si esa copia permanece conectada y accesible desde los mismos sistemas y cuentas que el atacante acaba de comprometer, también puede convertirse en objetivo.
The Gentlemen ofrece un ejemplo concreto de este riesgo. Sophos documentó más de 200 variaciones de comandos utilizados durante los incidentes analizados para deshabilitar servicios relacionados con respaldo y recuperación. Estas acciones ocurrieron inmediatamente antes del despliegue del ransomware en los casos observados, lo que evidencia que la infraestructura de recuperación puede convertirse en un objetivo prioritario cuando el atacante se prepara para cifrar los sistemas.
Por eso, la estrategia de respaldo debe contemplar el escenario en el que el atacante ya tiene acceso administrativo a parte de la infraestructura. Por ello se recomienda mantener copias offline, cifradas e inmutables y probar regularmente su disponibilidad e integridad. “Inmutable” significa, en términos sencillos, que la copia está protegida contra modificaciones o eliminación no autorizadas. La idea es que, aunque el atacante consiga controlar los servidores principales, no pueda utilizar ese mismo acceso para borrar también la posibilidad de recuperación.
Esto también obliga a pensar en algo que suele pasar desapercibido ¿puede la organización restaurar sus sistemas si Active Directory está comprometido? No basta con saber que existe un backup, hay que comprobar que puede utilizarse cuando los sistemas de autenticación, servidores o cuentas administrativas están afectados.
Microsoft recomienda, durante una respuesta a ransomware, evaluar la disponibilidad de controladores de dominio no comprometidos, respaldos recientes de Active Directory y registros provenientes de diferentes componentes de la infraestructura.
EDR y SIEM: detectar las señales antes de que sea demasiado tarde
La velocidad de The Gentlemen deja una lección importante: detectar el cifrado puede significar que ya se llegó demasiado tarde. Si una organización espera a que cientos de archivos cambien de extensión o aparezca una nota de rescate, posiblemente ya se encuentre en la última etapa de la intrusión. La detección debe comenzar mucho antes identificando comportamientos como accesos remotos anómalos, cambios inesperados en cuentas administrativas, movimientos laterales o intentos de desactivar herramientas de seguridad. Sophos recomienda precisamente vigilar actividades relacionadas con VPN, cambios administrativos, RDP, exclusiones de Windows Defender y herramientas de extracción de información.
Aquí el EDR desempeña un papel fundamental porque observa lo que ocurre dentro de cada endpoint. Si una computadora comienza a ejecutar PowerShell de una manera inusual, modifica servicios, establece conexiones con múltiples equipos o intenta desactivar componentes de seguridad, el comportamiento puede generar señales de alerta.
Pero una organización no debería depender exclusivamente de lo que ocurre en cada computadora. Ahí entra el SIEM (Security Information and Event Management), una plataforma que recopila y correlaciona registros de múltiples fuentes de seguridad y tecnología.
En lugar de mirar una sola cámara, imaginemos un centro de vigilancia que recibe simultáneamente las imágenes de las cámaras de todos los accesos del edificio. Un inicio de sesión extraño en una VPN quizá parezca irrelevante por sí solo; combinado con un cambio de privilegios en Active Directory, conexiones RDP hacia varios servidores y la aparición de herramientas de extracción de datos, puede revelar una historia completamente diferente
Por ello, la visibilidad debe extenderse más allá de los endpoints. Los registros de Active Directory, firewalls, VPN, servidores, aplicaciones, sistemas de autenticación y mecanismos de monitoreo de archivos pueden aportar piezas diferentes del mismo incidente.
Un firewall, por ejemplo, controla y filtra determinadas comunicaciones de red; una VPN administra conexiones remotas; un servidor proporciona servicios o recursos a otros equipos; y un sistema FIM (File Integrity Monitoring) supervisa cambios en archivos y configuraciones para detectar modificaciones inesperadas.
Ninguna de las tecnologías antes mencionadas cuenta por sí sola toda la historia, pero juntas pueden ayudar a reconstruirla. Microsoft, en sus recomendaciones de respuesta ante ransomware, plantea precisamente revisar evidencias procedentes de EDR, firewall, VPN y otros registros, además de información de Active Directory.
La importancia de esa visión conjunta aumenta cuando el atacante intenta borrar evidencias del propio equipo comprometido. Si un intruso elimina los registros locales, todavía puede dejar rastros en otros lugares: el firewall puede registrar una conexión, la VPN puede conservar información de autenticación, Active Directory puede mostrar un cambio de privilegios y otro servidor puede registrar una conexión RDP.
Menos de 24 horas: por qué cada minuto cuenta frente al ransomware
El caso de The Gentlemen cambia la pregunta que las organizaciones deberían hacerse. Ya no basta con preguntar “¿tenemos antivirus?” o “¿tenemos respaldos?”. La pregunta crítica es: ¿cuánto tiempo tardaríamos en detectar que alguien está avanzando dentro de nuestra red y cuánto tiempo necesitamos para detenerlo?
En los incidentes estudiados por Sophos, el tiempo mediano entre la primera actividad posterior al compromiso y el despliegue del ransomware fue de aproximadamente dos días, pero el caso más rápido se produjo en menos de 24 horas. Ese margen puede ser insuficiente si las alertas no son atendidas rápidamente o si el atacante consigue desactivar los mecanismos de detección.
La respuesta, por tanto, no pasa por apostar todo a una única tecnología. Requiere combinar MFA para accesos remotos, EDR, monitoreo centralizado mediante SIEM, segmentación de redes, protección de Active Directory, control de privilegios, monitoreo de VPN y RDP, respaldos offline e inmutables y un plan de respuesta probado.
The Gentlemen también deja otra enseñanza: el ransomware dejó de ser únicamente un archivo malicioso que llega a una computadora y comienza a cifrar documentos. Se ha convertido en una operación completa, con afiliados, herramientas especializadas, robo de credenciales, movimiento lateral, extracción de información, evasión de defensas y mecanismos para impedir la recuperación.
ESET documentó que los operadores de The Gentlemen incluso proporcionan herramientas destinadas a neutralizar EDR a sus afiliados, mientras que Sophos observó que estos actores combinan herramientas legítimas, credenciales comprometidas y técnicas de evasión para acelerar el ataque.
Y ahí está el verdadero peligro de las menos de 24 horas: no significa simplemente que el ransomware sea más rápido al cifrar archivos, significa que el periodo durante el cual una organización puede descubrir el intruso antes de que llegue al cifrado y a la extorsión se está reduciendo.
En una carrera así, cada minuto entre el primer acceso sospechoso y la respuesta puede determinar si la organización consigue aislar un equipo o termina intentando recuperar cientos de servidores. The Gentlemen demuestra que, frente al ransomware moderno, la seguridad no consiste únicamente en impedir la entrada: consiste en detectar el recorrido del atacante antes de que llegue al último paso.
