Nombres Alternativos / Aliases
- The Gentlemen (Nombre principal del ransomware/RaaS)
- Phantom Mantis (PRODAFT)
- Storm-2697 (Microsoft)
- ArmCorp (Nombre inicial de la operación)
- Tenacious Mantis (LockBit - RaaS utilizado anteriormente)
- Pestilent Mantis (Qilin - RaaS utilizado anteriormente)
- Venomous Mantis (Medusa - RaaS utilizado anteriormente)
- Primeval Mantis (Embargo - grupo anterior del operador)
Fecha de Detección / Actividad
| Fecha/Período
|
Evento
|
| Desde al menos 2020
|
Actividad temprana del operador (LARVA-368/Hastalamuerte)
|
| Julio/Agosto 2025
|
Surgimiento de Phantom Mantis como afiliado activo
|
| Julio 2025
|
Transformación a The Gentlemen (programa independiente)
|
| Marzo 2025
|
Primera actividad documentada del grupo
|
| Noviembre 2025 - abril 2026
|
Base de datos interna de Rocket.Chat expuesta (3,366 mensajes)
|
| Abril 2026
|
10% de toda la actividad global de ransomware (NCC Group)
|
| Mayo 2026
|
Publicación de infografía en Breachforums por Hastalamuerte
|
| 10-11 junio 2026
|
Publicación de informes de PRODAFT, KrebsOnSecurity y THN
|
| Estado actual
|
Activa (continúa operando y evolucionando)
|
Estadísticas clave
| Métrica
|
Valor
|
| Víctimas totales (hasta junio 2026)
|
478 (según Ransomware.Live)
|
| Víctimas en 2026
|
240+
|
| Cuota de actividad ransomware global (abril 2026)
|
10% (segundo grupo más activo)
|
| Víctimas en EE.UU.
|
~13%
|
| Países más afectados
|
Tailandia, Reino Unido, Brasil, Alemania, India
|
| Tiempo de residencia promedio
|
2-6 semanas (desde acceso inicial hasta cifrado)
|
| Comisión para afiliados
|
90% (más alto que el estándar 80/20)
|
Actor de Amenaza (Atribución)
Liderazgo identificado
| Identificador
|
Detalle
|
| Alias principales
|
LARVA-368 (PRODAFT), Hastalamuerte, ArmCorp, Zeta88, Nobody0, SantaMuerte
|
| Nombre real
|
Alexander Andreevich Yapaev (Япаев Александр Андреевич)
|
| Edad
|
36 años (en 2026)
|
| Ubicación
|
Izhevsk, Rusia (capital de la República de Udmurtia)
|
| Empleo (LinkedIn)
|
Jefe de marketing B2B en Uralenergo Udmurtia
|
| Idiomas
|
Ruso, inglés
|
Identificación por OSINT (KrebsOnSecurity/Intel 471/Constella)
| Hallazgo
|
Fuente
|
| Registro en Breachforums (enero 2025) desde IP en Izhevsk
|
Intel 471
|
| Usuario Zeta88 registrado en Breached (agosto 2022) desde IP en Izhevsk
|
Intel 471
|
Email hastalamuerte1488@protonmail.com conectado a cuenta de Apple y teléfono 79127650004
|
Epieos
|
| Teléfono vinculado a Alexander Andreevich Yapaev en bases de datos gubernamentales rusas
|
Constella Intelligence
|
Usuario Alexandr 4apaev en Codeby (2020)
|
Intel 471
|
| LinkedIn de Alexander Yapaev (jefe de marketing B2B)
|
Epieos
|
"El usuario 4apai18 en Pikabu, el nombre Alexandr 4apaev en Codeby, y bu4vs@mail.ru como correo — todo apunta a la misma persona."
Historial criminal
| Período
|
Rol/Organización
|
| 2020
|
Miembro novato en foros criminales (aprendiendo pentesting)
|
| 2021-2024
|
Miembro de Embargo ransomware (Primeval Mantis)
|
| 2025 (inicio)
|
Afiliado de LockBit, Qilin y Medusa (como Phantom Mantis)
|
| Julio 2025
|
Transición a The Gentlemen (programa independiente)
|
Disputa con Qilin
| Detalle
|
Información
|
| Causa
|
Qilin supuestamente retuvo $48,000 en comisiones de afiliado
|
| Acción
|
Hastalamuerte abrió arbitraje público en foro RAMP
|
| Acusación
|
Qilin realizó "exit scam" y tiene "puerta trasera" en el panel de afiliados
|
| Resultado
|
Transición a operación independiente (The Gentlemen)
|
Resumen Ejecutivo
The Gentlemen es una operación de ransomware como servicio (RaaS) que ha emergido como el segundo grupo de ransomware más activo por número de víctimas en 2026, responsable de aproximadamente el 10% de toda la actividad global de ransomware en abril de 2026.
Lo que hace único a The Gentlemen
| Característica
|
Descripción
|
| Modelo de negocio agresivo
|
90% para afiliados / 10% para operador (vs 80/20 estándar)
|
| Capacidad de gusano
|
Modo --spread → se propaga automáticamente por la red
|
| Modo destructivo
|
Modo --wipe → elimina artefactos recuperables del disco
|
| Multiplataforma
|
Windows, Linux, ESXi, Windows XP+, Logical Volume Manager (LVM)
|
| Lenguaje
|
Go ofuscado con Garble
|
| Cifrado
|
X25519 (intercambio de claves) + XChaCha20 (cifrado simétrico)
|
| Evasión avanzada
|
Bring Your Own Vulnerable Driver (BYOVD) para matar EDR
|
| IA integrada
|
Uso de IA para desarrollo, mantenimiento y post-explotación
|
Evolución del grupo
| Fase
|
Período
|
Descripción
|
| Phantom Mantis
|
Julio 2025
|
Afiliado activo de LockBit, Qilin, Medusa (>20 víctimas en <30 días)
|
| The Gentlemen
|
Julio 2025 - presente
|
Operación RaaS independiente
|
| Post-filtración Rocket.Chat
|
Mayo 2026
|
Exposición de operaciones internas (3,366 mensajes)
|
Capacidades Técnicas del Ransomware
Lenguaje y ofuscación
| Característica
|
Detalle
|
| Lenguaje
|
Go (Golang)
|
| Ofuscación
|
Garble (dificulta análisis estático)
|
| Plataformas
|
Windows, Linux, ESXi, Windows XP+, LVM
|
Esquema de cifrado (criptografía híbrida)
| Componente
|
Algoritmo
|
Propósito
|
| Intercambio de claves
|
X25519 (Curve25519)
|
Establecimiento de clave compartida segura
|
| Cifrado simétrico
|
XChaCha20
|
Cifrado rápido de archivos
|
Modos de operación especiales
| Argumento
|
Función
|
Descripción
|
--spread
|
Propagación como gusano
|
Intenta desplegar el cifrador en todos los sistemas accesibles de la red
|
--wipe
|
Limpieza destructiva
|
Elimina artefactos recuperables del disco después del cifrado
|
"Cuando se habilita con el argumento --spread, convierte el malware de un cifrador de un solo host en un gusano autopropagante."
— Microsoft Threat Intelligence
Herramientas asociadas (kit completo)
| Categoría
|
Herramientas
|
Propósito
|
| Reconocimiento
|
NetExec
|
Descubrimiento de Active Directory
|
| Movimiento lateral
|
RelayKing, TaskHound
|
Abuso de certificados, descubrimiento de recursos
|
| Escalada de privilegios
|
PrivHound, CertiHound
|
Búsqueda de vectores de escalada
|
| Evasión de EDR
|
EDRStartupHinder, gfreeze, glinker, DumpBrowserSecrets
|
BYOVD, deshabilitación de seguridad
|
| C2
|
Velociraptor
|
Comando y control
|
| Exfiltración
|
WinSCP, Rclone
|
Transferencia de datos
|
BYOVD (Bring Your Own Vulnerable Driver)
El grupo utiliza controladores vulnerables firmados con certificados comprometidos para:
- Cargar un controlador malicioso en el kernel
- Obtener privilegios de kernel
- Terminar procesos de seguridad (EDR/AV)
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK)
|
Técnica / Subtécnica
|
Descripción / Implementación
|
| Initial Access (TA0001)
|
Exploit Public-Facing Application (T1190)
|
CVE-2024-55591 (Fortinet), VPNs, firewalls, Cisco
|
| Initial Access (TA0001)
|
Valid Accounts (T1078)
|
Credenciales Fortinet brute-force (14,700+ dispositivos)
|
| Execution (TA0002)
|
Command and Scripting Interpreter (T1059)
|
PowerShell, cmd
|
| Persistence (TA0003)
|
Scheduled Task/Job (T1053.005)
|
Tareas programadas
|
| Persistence (TA0003)
|
Boot or Logon Autostart Execution (T1547.001)
|
Registry Run Keys
|
| Defense Evasion (TA0005)
|
Bring Your Own Vulnerable Driver (T1068)
|
BYOVD para matar EDR
|
| Defense Evasion (TA0005)
|
Impair Defenses: Disable Windows Defender (T1562.001)
|
Deshabilitación de Defender
|
| Defense Evasion (TA0005)
|
Indicator Removal: Clear Windows Event Logs (T1070.001)
|
Borrado de logs
|
| Defense Evasion (TA0005)
|
Masquerading (T1036)
|
Herramientas renombradas
|
| Credential Access (TA0006)
|
OS Credential Dumping (T1003)
|
SAM, LSASS
|
| Discovery (TA0007)
|
File and Directory Discovery (T1083)
|
Enumeración de recursos compartidos
|
| Discovery (TA0007)
|
Network Share Discovery (T1135)
|
Unidades mapeadas
|
| Lateral Movement (TA0008)
|
Remote Services: SMB/Windows Admin Shares (T1021.002)
|
Movimiento lateral
|
| Lateral Movement (TA0008)
|
Propagación como gusano (--spread)
|
Técnica personalizada
|
| Command & Control (TA0011)
|
Web Protocols (T1071.001)
|
HTTPS
|
| Exfiltration (TA0010)
|
Exfiltration Over Web Service (T1567)
|
Exfiltración de datos
|
| Impact (TA0040)
|
Data Encrypted for Impact (T1486)
|
Cifrado de archivos
|
| Impact (TA0040)
|
Disk Wipe (T1561)
|
Modo --wipe destructivo
|
| Impact (TA0040)
|
Financial Theft / Extortion (T1657)
|
Extorsión multicanal
|
Flujo de Ataque (Cyber Kill Chain)
| Fase
|
Descripción
|
| 1. Reconocimiento
|
Escaneo de dispositivos perimetrales (Fortinet, Cisco, VPNs); base de datos de 14,700+ FortiGate explotados y 969 credenciales brute-force
|
| 2. Armamento
|
El operador (LARVA-368) prepara el ransomware personalizado para cada objetivo; escribe en Go con Garble
|
| 3. Entrega
|
Acceso inicial vía dispositivos perimetrales vulnerables (CVE-2024-55591) o credenciales robadas
|
| 4. Explotación
|
Movimiento lateral con herramientas de red team (NetExec, RelayKing, etc.)
|
| 5. Instalación
|
Despliegue de ransomware; modo --spread para propagación automática
|
| 6. Comando y Control
|
Velociraptor, HTTPS, tox, SimpleX Chat, Ricochet Refresh
|
| 7. Acción sobre Objetivos
|
- Cifrado de archivos (XChaCha20)
- Exfiltración de datos (extorsión doble)
- Modo --wipe opcional destructivo
- Nota de extorsión + llamadas telefónicas (presión multicanal)
|
Infraestructura Utilizada
Panel de afiliados (RaaS)
| Característica
|
Detalle
|
| Requisito de acceso
|
Proporcionar 1 GB de datos robados de una víctima (evita investigadores/LE)
|
| Funcionalidades
|
Gestión de usuarios, configuración de objetivos, descarga de ransomware personalizado
|
Comunicación del grupo
| Plataforma
|
Propósito
|
| Tox
|
Mensajería cifrada P2P
|
| SimpleX Chat
|
Mensajería descentralizada
|
| Ricochet Refresh
|
Mensajería anónima (Tor)
|
| Rocket.Chat
|
Comunicación interna (filtrada)
|
| The Gentlemen IM
|
Aplicación de mensajería propia del grupo
|
Proveedores de infraestructura
| Proveedor
|
Propósito
|
| Proton66
|
Hosting ruso "a prueba de balas" (directorio abierto expuesto)
|
Controladores vulnerables (BYOVD)
El grupo mantiene una colección de controladores vulnerables firmados con certificados comprometidos, utilizados para:
- Obtener privilegios de kernel
- Terminar procesos de EDR/AV
Víctimas y Sectores Afectados
| Categoría
|
Datos
|
| Víctimas totales
|
478 (Ransomware.Live, hasta junio 2026)
|
| Víctimas 2026
|
240+
|
| Cuota de mercado ransomware (abril 2026)
|
10% (segundo grupo más activo)
|
| Distribución geográfica principal
|
EE.UU. (~13%), Tailandia, Reino Unido, Brasil, Alemania, India
|
| Sectores objetivo
|
Empresas (sin sector específico; enfoque en organizaciones con infraestructura VMware)
|
| Tiempo de residencia
|
2-6 semanas (desde acceso inicial hasta cifrado)
|
Base de datos de FortiGate comprometidos
| Tipo de dato
|
Cantidad
|
| Dispositivos FortiGate explotados
|
~14,700
|
| Credenciales VPN brute-force validadas
|
969
|
Impacto y Riesgo
| Categoría
|
Nivel
|
Descripción
|
| Crecimiento
|
MUY ALTO
|
478 víctimas en <1 año; 10% del mercado ransomware
|
| Capacidad de gusano
|
MUY ALTA
|
Modo --spread propaga automáticamente el ransomware
|
| Evasión de EDR
|
ALTA
|
BYOVD para matar EDR/AV
|
| Extorsión multicanal
|
ALTA
|
Correos + llamadas telefónicas (tácticas de presión)
|
| Tiempo de residencia
|
PROLONGADO
|
2-6 semanas (mucho tiempo para exfiltración)
|
| Transparencia del operador
|
MUY BAJA
|
Identidad real expuesta (Yapaev)
|
Consecuencias específicas
| Consecuencia
|
Gravedad
|
Detalle
|
| Cifrado masivo
|
Crítica
|
Modo --spread puede cifrar toda la red
|
| Doble extorsión
|
Crítica
|
Datos exfiltrados + cifrados
|
| Destrucción de datos
|
Crítica
|
Modo --wipe elimina artefactos recuperables
|
| Llamadas de presión
|
Alta
|
El grupo llama directamente a las víctimas
|
| Propagación rápida
|
Alta
|
Potencial epidémico dentro de organizaciones
|
Modelo de negocio
| Participante
|
Comisión
|
| Afiliados
|
90% (significativamente más alto que el estándar 80/20)
|
| Operador (LARVA-368)
|
10%
|
Detección y Respuesta
Recomendaciones para organizaciones
| Acción
|
Prioridad
|
Descripción
|
| Parchear Fortinet (CVE-2024-55591)
|
CRÍTICA
|
Vulnerabilidad de autenticación usada por The Gentlemen
|
| Rotar credenciales VPN
|
CRÍTICA
|
Asumir que las 969 credenciales filtradas pueden incluir las suyas
|
| Monitorear puerto 22 (SSH)
|
ALTA
|
WinSCP/Rclone para exfiltración
|
| Bloquear controladores no firmados
|
ALTA
|
Mitigar BYOVD
|
| Auditar herramientas de red team
|
ALTA
|
NetExec, RelayKing, PrivHound, CertiHound
|
| Monitorear Velociraptor
|
ALTA
|
Herramienta C2 del grupo
|
| Segmentación de red
|
ALTA
|
Limitar propagación de gusano
|
| Backups offline
|
ALTA
|
Proteger contra --wipe
|
| Entrenamiento anti-phishing
|
MEDIA
|
Vishing y correos de extorsión
|
YARA y reglas de detección
Microsoft y PRODAFT han publicado reglas de detección para:
- Ejecutables de The Gentlemen (ofuscados con Garble)
- Herramientas del kit (NetExec, RelayKing, etc.)
- Controladores BYOVD
Script de verificación (PowerShell)
powershell
# Buscar herramientas de red team
Get-Process | Where-Object {$_.ProcessName -match "NetExec|RelayKing|PrivHound|CertiHound|Velociraptor"}
# Buscar controladores vulnerables
Get-WindowsDriver -Online | Where-Object {$_.Driver -match "gdrv|aswsp|dbd"}
# Verificar tareas programadas sospechosas
Get-ScheduledTask | Where-Object {$_.TaskName -match "Gentlemen|ransom"}
Filtración de Rocket.Chat (noviembre 2025 - abril 2026)
| Métrica
|
Valor
|
| Mensajes expuestos
|
3,366
|
| Período
|
noviembre 2025 - finales abril 2026
|
| Contenido
|
Estrategias, vulnerabilidades explotadas, divisiones de funciones, afiliados
|
Vulnerabilidades discutidas en los chats
| CVE
|
Producto
|
Uso
|
| CVE-2024-55591
|
Fortinet FortiOS/FortiProxy
|
Acceso inicial principal
|
| CVE-2025-32433
|
(no especificado)
|
Explotación activa
|
| CVE-2025-33073
|
(no especificado)
|
Explotación activa
|
Opiniones de Expertos
"The Gentlemen sigue una cadena de ataques centrada en las empresas, que comienza con el acceso inicial a través de servicios vulnerables conectados a internet o credenciales robadas. Los análisis sugieren que The Gentlemen puede adaptarse y cambiar de táctica durante un ataque, como manipular las directivas de grupo (GPO), comprometer cuentas privilegiadas y utilizar métodos personalizados para eludir las protecciones de los endpoints."
— NCC Group
"El ransomware está escrito en Go y ofuscado con Garble para atacar el entorno Windows. Cuando se habilita con el argumento --spread, convierte el malware de un cifrador de un solo host en un gusano autopropagante que intenta desplegar su cifrador en todos los sistemas accesibles de la red."
— Microsoft Threat Intelligence (Storm-2697)
"El grupo mantiene una base de datos operativa de aproximadamente 14,700 dispositivos FortiGate ya explotados a nivel mundial. Además, los operadores mantienen 969 credenciales VPN FortiGate validadas mediante fuerza bruta listas para atacar."
— PRODAFT
"La verdad es que la mayoría de los ciberdelincuentes —rusos o no— no empezaron queriendo ser criminales consumados, sino que se vieron atraídos gradualmente por el mundo criminal a lo largo de varios años a medida que sus habilidades se ampliaban y perfeccionaban. Otra dinámica importante es que el gobierno ruso generalmente coopta o ignora la actividad cibercriminal dentro de sus fronteras, siempre que los hackers no roben ni ataquen a empresas y ciudadanos rusos."
— Brian Krebs, KrebsOnSecurity
*"LARVA-368 se basa en gran medida en la inteligencia artificial para el desarrollo y mantenimiento de ransomware y herramientas, así como para la asistencia en los procedimientos posteriores a la explotación. Estamos viendo la primera generación de ransomware potenciado por IA, no solo para escribir notas de rescate, sino para el desarrollo real de malware y herramientas de evasión. La capacidad de lanzar un parche el mismo día que se publica un descifrador muestra un ciclo de desarrollo altamente receptivo que antes solo veíamos en empresas legítimas."*
— Fernando Vargas (CiberAnalyst)
Referencias y Fuentes
- Lakshmanan, R. (2026, 11 de junio). The Gentlemen Ransomware Claims 478 Victims, Can Spread Like a Worm. The Hacker News.
- Krebs, B. (2026, 10 de junio). Who Runs the Ransomware Group ‘The Gentlemen?’. KrebsOnSecurity.
- PRODAFT. (2026, 11 de junio). Phantom Mantis / The Gentlemen RaaS Detailed Analysis.
- NCC Group. (2026, abril). The Gentlemen Ransomware Activity Report.
- Microsoft Threat Intelligence. (2026). *Storm-2697: The Gentlemen Ransomware Analysis*.
- Check Point Research. (2026, abril). The Gentlemen: Second Most Active Ransomware Group.
- Group-IB. (2026, marzo). Emerging RaaS exploiting FortiGate flaws.
- ZeroFox. (2026). The Gentlemen Multi-Channel Extortion.
- Hunt.io. (2026, marzo). Proton66 open directory exposing The Gentlemen affiliate toolkit.
- Ransomware.Live. (2026, junio). Victim count statistics.
- Intel 471. (2026). *Hastalamuerte/Zeta88 OSINT investigation*.
- Constella Intelligence. (2026). Identity correlation: phone number 79127650004.
Historial de Revisiones
| Fecha
|
Versión
|
Autor
|
Cambios Realizados
|
| 2026-06-11
|
1.0
|
Fernando Vargas Hincapié
|
Creación inicial basada en informes de The Hacker News, KrebsOnSecurity, PRODAFT, Microsoft, NCC Group, Check Point, Group-IB, ZeroFox, Intel 471 y Constella
|
Indicadores de Compromiso (IOCs)
IPs C2 (expuestas en directorio abierto)
| IP
|
176.120.22[.]127:80 (Proton66, directorio con 126 archivos de toolkit)
|
Hashes (no especificados en fuentes públicas)
Se recomienda consultar:
- El informe de PRODAFT
- Las reglas YARA de Microsoft para Storm-2697
- Los feeds de inteligencia de amenazas de Group-IB y NCC Group
Herramientas del kit (nombres)
| Herramienta
|
Propósito
|
| NetExec
|
Reconocimiento AD
|
| RelayKing
|
Movimiento lateral
|
| TaskHound
|
Descubrimiento de tareas
|
| PrivHound
|
Escalada de privilegios
|
| CertiHound
|
Abuso de certificados
|
| EDRStartupHinder
|
Evasión de EDR
|
| gfreeze
|
Evasión
|
| glinker
|
Evasión
|
| DumpBrowserSecrets
|
Robo de credenciales de navegadores
|
| Velociraptor
|
C2
|
| WinSCP, Rclone
|
Exfiltración
|
Controladores BYOVD conocidos (patrones)
| Patrón
|
Descripción
|
| Controlador con nombre de 5 letras aleatorias
|
Firmado con certificado comprometido
|
Comportamiento anómalo a monitorear
| Comportamiento
|
Dónde buscar
|
Ejecución de --spread en línea de comandos
|
Logs de procesos, EDR
|
Ejecución de --wipe
|
Logs de procesos, EDR
|
| Carga de controladores no firmados o vulnerables
|
Logs de kernel, Event Viewer
|
| Tareas programadas con nombres genéricos
|
Scheduled Tasks
|
| Velociraptor ejecutándose en endpoints
|
Procesos, servicios
|
| NetExec/RelayKing/PrivHound/CertiHound
|
Logs de procesos, EDR
|
| Tráfico SSH (puerto 22) a IPs externas
|
Firewall logs
|
Preguntas sin respuesta
| Pregunta
|
Estado
|
| ¿El gobierno ruso ha tomado acciones contra Yapaev?
|
No (probablemente no, porque no ataca objetivos rusos)
|
| ¿Apple ha desactivado la cuenta de Yapaev?
|
No confirmado
|
| ¿El directorio abierto de Proton66 sigue activo?
|
No especificado (probablemente cerrado tras la exposición)
|
| ¿Cuántos afiliados tiene The Gentlemen?
|
~20 miembros (según Group-IB)
|
| ¿La identificación de Yapaev ha afectado las operaciones del grupo?
|
No especificado; el grupo sigue activo
|
¿El modo --spread ha causado epidemias de ransomware documentadas?
|
Sí, implícito en su diseño
|
Etiquetas / Categorías
the-gentlemen-ransomware phantom-mantis storm-2697 larva-368 hastalamuerte zeta88 alexander-yapaev ransomware-raas go-garble-ransomware x25519-xchacha20 worm-spread-mode byovd-edr-kill fortinet-cve-2024-55591 qilin-exit-scam lockbit-affiliate medusa-ransomware embargo-ransomware double-extortion multi-channel-extortion velociraptor-c2 proton66-russian-hosting
