The Gentlemen

Grupo valorado con confianza media-alta como escisión de un clúster de afiliados de Qilin conocido como 'ArmCorp' (unos 20 operadores), liderado por el actor con alias 'hastalamuerte'. El catalizador habría sido una disputa de arbitraje en el foro RAMP el 22 de julio de 2025, en la que hastalamuerte reclamó ~48.000 USD de comisiones impagadas a un representante de Qilin. Analyst1 también vincula a hastalamuerte con el ecosistema DevMan. Operadores núcleo valorados como de habla rusa (prohibición de atacar Rusia/CEI, promoción mayoritaria en ruso, horarios de chat en huso horario de Moscú), aunque la atribución geográfica exacta no está confirmada de forma independiente por fuente gubernamental.

RaaS (ransomware-as-a-servicio) de doble extorsión (cifrado + robo de datos), con reparto de ingresos excepcionalmente favorable al afiliado: 90% afiliado / 10% operador para ataques con cifrado, elevado a 93-97% para extorsión solo con datos (sin cifrado) a partir de abril de 2026, buscando atraer afiliados que evitan el riesgo operativo del cifrado. Alta en entrada: depósito reembolsable de 1.500 USD o aportar datos de víctima pre-ataque. Backend centralizado (panel 'GLOCKER', base de datos interna apodada 'Rocket') con ejecución descentralizada por afiliados, que controlan negociación y cobro. Reclutamiento activo en foros clandestinos (incl. asociación con BreachForums/HasanBroker en mayo 2026) dirigido a pentesters y brokers de acceso inicial (IABs).

Vínculo valorado como medio-alto con Qilin vía el clúster de afiliados 'ArmCorp' y el actor 'hastalamuerte' (Group-IB, Analyst1, Unit 42, PRODAFT, The Record coinciden). PRODAFT rastrea al grupo bajo el alias 'Phantom Mantis'; Microsoft lo rastrea como 'Storm-2697'. El grupo estudió y reutilizó el chat filtrado de Black Basta (febrero 2025) para flujos de phishing/abuso de buzones. No hay evidencia de rebrand formal de otro DLS; se trata de una escisión/continuidad de personal/afiliados, no de una marca reciclada.

Acceso inicial mayoritariamente vía dispositivos perimetrales expuestos (FortiGate/FortiOS, VPNs), fuerza bruta de credenciales, credenciales comprometidas de infostealers/brokers de acceso inicial, y explotación de CVEs conocidas (CVE-2024-55591 FortiOS, CVE-2025-32433 Erlang/OTP SSH, CVE-2025-33073 NTLM/SMB, CVE-2025-7771 driver ThrottleStop.sys usado en BYOVD). Reconocimiento con Advanced IP Scanner y consultas de Active Directory; escalado de privilegios con PowerRun.exe; movimiento lateral vía PsExec/SMB y propagación tipo gusano por GPO/tareas programadas. Evasión de defensas: terminación de procesos AV/EDR con herramientas propias ('GentleKiller', 'EDR Killer'), borrado de logs con wevtutil, eliminación de shadow copies (vssadmin/wmic), parcheo same-day tras la publicación de un decryptor gratuito (Bedrock Safeguard, abril 2026). Malware propio en Go (variante ESXi en C, ~32KB), cifrado híbrido XChaCha20 + Curve25519 con claves efímeras por archivo, modos de cifrado parcial/total, nota de rescate 'README-GENTLEMEN.txt', extensión de archivo cifrado '.7mtzhh'. C2 con SystemBC y herramienta de administración remota open-source ZeroPulse. Uso documentado de IA: el panel de negociación fue 'vibe-coded' en 3 días por el admin 'zeta88', con discusión interna de modelos LLM 'abliterated' (incl. variante de Qwen) para programación y análisis de datos robados — uno de los casos mejor documentados de IA generativa en operaciones cotidianas de un grupo de ransomware.