Operation Container

Operation Container es una campaña de ransomware dirigida al sector logístico colombiano, ejecutada por el grupo de cibercrimen conocido como TheGentlemen. La operación combina técnicas de doble extorsión (cifrado de archivos + exfiltración de datos) con un enfoque específico en interrumpir cadenas de suministro mediante el compromiso de empresas de transporte multimodal y control de contenedores.

Nombres Alternativos / Aliases

TheGentlemen Ransomware Campaign (Por el nombre del grupo atacante)
Operación Contenedor (Traducción oficial al español)
GerleinCO Ransomware Attack (Por la víctima principal documentada)
Logistics Spider Campaign (Referencia a la telaraña de relaciones del sector logístico)
Doble Extorsión Logística (Por el modus operandi y sector afectado)

Fecha de Detección / Actividad

Período de Actividad Observado: Desde al menos noviembre de 2025 (primeras muestras del ransomware Gentlemen identificadas)
Fecha del Incidente Principal: 6 de marzo de 2026 (reivindicación pública del ataque a Gerleinco)
Fecha de Divulgación Pública: 7 de marzo de 2026
Estado: Activo. El grupo continúa operando su sitio de filtraciones en la dark web y se han identificado conversaciones en foros de hackers sobre posibles nuevas víctimas en el sector logístico de Latinoamérica.

Actor de Amenaza (Atribución)

Atribución: Grupo TheGentlemen
Tipo de Actor: Grupo de cibercrimen organizado que opera bajo el modelo de Ransomware-as-a-Service (RaaS)
Sofisticación: Moderada-Alta. Utilizan técnicas de evasión (empaquetado con VMProtect), movimiento lateral mediante credenciales robadas y doble extorsión con sitios dedicados en la dark web.
Motivación: Financiera (obtención de rescates en criptomonedas)

Resumen Ejecutivo

Operation Container es una campaña de ransomware dirigida que tuvo su punto más visible el 6 de marzo de 2026, cuando el grupo TheGentlemen reivindicó un ataque contra Gerleinco, una empresa líder en logística y control de contenedores en Colombia. El grupo desplegó una variante del ransomware Gentlemen que cifra los archivos añadiendo una extensión aleatoria (ej. .7mtzhh) y deja una nota de rescate (README-GENTLEMEN.txt) exigiendo negociación a través de Tox messenger.

Lo que distingue a Operation Container es su aproximación sectorial: los atacantes no solo buscaban un rescate genérico, sino que apuntaron específicamente a paralizar las operaciones de cadena de suministro. La exfiltración de datos incluyó información sensible de clientes, rutas logísticas y documentación de contenedores, amenazando con publicarla en su sitio de filtraciones (.onion) y distribuirla en foros de hackers si Gerleinco no negociaba.

El análisis posterior reveló que el grupo utilizó un driver vulnerable (BYOVD - Bring Your Own Vulnerable Driver) para desactivar soluciones de seguridad, específicamente ThrottleStop.sys (renombrado como ThrottleBlood.sys), y herramientas como All.exe (KillAV) para neutralizar protecciones endpoint antes del cifrado masivo. El ataque expuso la vulnerabilidad crítica del sector logístico colombiano, donde la continuidad operativa depende directamente de la disponibilidad de los sistemas de información.

Vectores de Ataque

Credenciales Comprometidas (acceso inicial): Obtención de credenciales válidas de empleados o socios a través de infostealers o filtraciones previas en la dark web, facilitando el acceso inicial sin necesidad de exploits complejos.
Phishing Dirigido (Spearphishing): Envío de correos electrónicos personalizados a empleados de empresas logísticas con archivos adjuntos maliciosos (documentos habilitados para macros) o enlaces que descargan el payload del ransomware.
Movimiento Lateral mediante RDP y SMB: Una vez dentro, utilizan protocolos de administración remota (RDP) y compartición de archivos (SMB) para propagarse a servidores críticos y sistemas NAS donde reside la información logística.
Abuso de Herramientas Legítimas: Uso de software como Advanced IP Scanner, Nmap y PsExec para reconocimiento de red y ejecución remota, dificultando la detección por herramientas de seguridad tradicionales.

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Acceso Inicial (TA0001)	Phishing (T1566.001/.002)	Envío de correos con archivos adjuntos maliciosos o enlaces que descargan el ransomware Gentlemen.
Ejecución (TA0002)	User Execution (T1204)	La víctima ejecuta manualmente el archivo malicioso, activando el cifrado y la comunicación C2.
Ejecución (TA0002)	Command and Scripting Interpreter (T1059)	Uso de scripts batch (`1.bat`) para ejecutar múltiples herramientas de reconocimiento y ataque.
Persistencia (TA0003)	Boot or Logon Autostart Execution (T1547)	Modificación del registro de Windows para asegurar la ejecución del ransomware tras reinicios.
Evasión de Defensas (TA0005)	Impair Defenses - Disable or Modify Tools (T1562.001)	Uso de `All.exe` (KillAV) y `Allpatch2.exe` para desactivar soluciones antivirus y EDR.
Evasión de Defensas (TA0005)	Obfuscated Files or Information - Software Packing (T1027.002)	El binario del ransomware está empaquetado con VMProtect para evadir detección por firmas.
Evasión de Defensas (TA0005)	Exploitation for Privilege Escalation - BYOVD (T1068)	Uso de un driver vulnerable (`ThrottleBlood.sys`) para obtener privilegios de kernel y desactivar seguridad.
Descubrimiento (TA0007)	Network Service Discovery (T1046)	Escaneo de la red interna con Advanced IP Scanner y Nmap para identificar servidores críticos.
Descubrimiento (TA0007)	File and Directory Discovery (T1083)	Enumeración de unidades de red y NAS para localizar archivos de valor (bases de datos, documentos de clientes).
Descubrimiento (TA0007)	System Information Discovery (T1082)	Recopilación de información del sistema para determinar el valor de la víctima y ajustar el rescate.
Movimiento Lateral (TA0008)	Remote Services - SMB/Windows Admin Shares (T1021.002)	Propagación a otros sistemas mediante el uso de credenciales robadas y recursos compartidos administrativos.
Movimiento Lateral (TA0008)	Remote Services - Remote Desktop Protocol (T1021.001)	Conexiones RDP a servidores críticos usando cuentas de administrador comprometidas.
Colección (TA0009)	Data from Network Shared Drive (T1039)	Exfiltración de datos sensibles desde servidores NAS y unidades compartidas antes del cifrado.
Comando y Control (TA0011)	Application Layer Protocol - Web Protocols (T1071.001)	Comunicación con servidores C2 mediante HTTP/HTTPS para exfiltrar datos y recibir instrucciones.
Exfiltración (TA0010)	Exfiltration Over Alternative Protocol (T1048)	Transferencia de datos robados a través de protocolos no estándar (FTP, SCP) para evadir detección.
Impacto (TA0040)	Data Encrypted for Impact (T1486)	Cifrado masivo de archivos en estaciones de trabajo y servidores, añadiendo extensión aleatoria (`.7mtzhh`).
Impacto (TA0040)	Inhibit System Recovery (T1490)	Eliminación de copias de sombra (VSS) y desactivación de opciones de recuperación del sistema para forzar el pago.

Flujo de Ataque (Kill Chain)

Reconocimiento e Inteligencia: El grupo TheGentlemen identifica a Gerleinco como objetivo de alto valor dentro del sector logístico colombiano. Investigan empleados, socios comerciales y posibles vulnerabilidades en su infraestructura mediante OSINT y credenciales filtradas en la dark web.
Compromiso Inicial: Obtienen acceso a la red corporativa, probablemente mediante:
- Credenciales válidas adquiridas en mercados de la dark web (infostealers previos).
- Un correo de spearphishing dirigido a un empleado con acceso a sistemas críticos.
Reconocimiento Interno: Utilizan herramientas legítimas (Advanced IP Scanner, Nmap) para mapear la red, identificar controladores de dominio, servidores de archivos (NAS) y estaciones de trabajo críticas para las operaciones logísticas.
Exfiltración de Datos: Antes de activar el ransomware, localizan y extraen grandes volúmenes de información sensible:
- Bases de datos de clientes.
- Documentación de rutas y operaciones de contenedores.
- Contratos y acuerdos comerciales.
- Credenciales almacenadas en sistemas.
Despliegue de la Carga Útil: Distribuyen el ransomware a los sistemas objetivo mediante:
- Movimiento lateral usando RDP y SMB con credenciales robadas.
- Ejecución remota a través de PsExec.
Neutralización de Defensas: Ejecutan herramientas como All.exe (KillAV) y abusan del driver vulnerable ThrottleBlood.sys para desactivar soluciones de seguridad (antivirus, EDR) en los sistemas comprometidos, evitando la detección durante el cifrado.
Cifrado Masivo: El ransomware Gentlemen se ejecuta en los sistemas objetivo, cifrando archivos y añadiendo una extensión aleatoria de 6 caracteres. Se eliminan las copias de sombra de volumen (VSS) para impedir la recuperación sin respaldo.
Entrega de la Nota: Se deja el archivo README-GENTLEMEN.txt en los escritorios y directorios afectados, instruyendo a la víctima a contactar mediante Tox messenger con un ID específico.
Extorsión Pública: El grupo publica en su sitio de filtraciones en la dark web un comunicado reivindicando el ataque y amenazando con divulgar los datos robados si Gerleinco no inicia negociaciones en un plazo de 239 horas.

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
Comunicación con Víctima	Tox Messenger (ID: `F8E24C7F5B12CD69C44C73F438F65E9BF560ADF35EBBDF92CF9A9B84079F8F04060FF98D098E`)	Canal cifrado para negociar el rescate con la víctima.
Sitio de Filtraciones (Leak Site)	`tezwsse5czllksjb7cwp65rvnk4oobmzti2znn42i43bjdfd2prqqkad.onion`	Publicación de víctimas y datos robados como presión para el pago.
Servidores C2	Infraestructura de comando y control alojada en servidores anónimos (probablemente VPS) para coordinar bots y exfiltración.	Recepción de datos robados y envío de instrucciones a sistemas infectados.
Foros de Cibercrimen	Foros de hackers de habla rusa/inglesa (no especificados)	Publicidad del grupo, reclutamiento de afiliados y distribución de datos robados.
Herramientas de Ataque	`All.exe`, `Allpatch2.exe`, `1.bat`, Advanced IP Scanner, Nmap, PsExec, WinSCP, AnyDesk	Reconocimiento, movimiento lateral, exfiltración y desactivación de defensas.
Driver Vulnerable (BYOVD)	`ThrottleStop.sys` (renombrado como `ThrottleBlood.sys`)	Obtención de privilegios de kernel para desactivar soluciones de seguridad.

Objetivos y Sectores Atacados

Objetivo Principal: Empresas del sector logístico y de cadena de suministro en Colombia y potencialmente Latinoamérica.
Objetivo Específico Documentado: Gerleinco (gerleinco.com), empresa líder en control de contenedores y transporte multimodal.
Sectores Prioritarios:
- Logística y transporte de mercancías.
- Operadores portuarios y de contenedores.
- Empresas de cadena de suministro con dependencia crítica de sistemas de información.
Distribución Geográfica: Colombia (inicialmente), con potencial expansión a otros países de Latinoamérica con sectores logísticos desarrollados.

Impacto y Riesgo

Nivel de Riesgo: Crítico para el sector logístico.
Impacto Operativo: Paralización de las operaciones de cadena de suministro. La imposibilidad de acceder a sistemas de control de contenedores, rutas y documentación de clientes detiene la actividad comercial de la víctima.
Impacto Financiero:
- Pérdidas directas por interrupción del negocio.
- Costos de recuperación y respuesta a incidentes.
- Posibles multas regulatorias por filtración de datos de clientes (Ley 1581 de 2012 en Colombia).
Impacto Reputacional: Pérdida de confianza por parte de clientes y socios comerciales cuyos datos han sido expuestos o cuyas operaciones se vieron afectadas.
Impacto en la Cadena de Suministro: El efecto dominó de un ataque a un actor logístico clave puede afectar a múltiples empresas que dependen de sus servicios para importaciones, exportaciones y distribución.
Carácter de la Amenaza: Representa una evolución del ransomware hacia ataques sectoriales estratégicos, donde el daño operativo y reputacional se utiliza como palanca de extorsión adicional al cifrado de datos.

Recomendaciones de Mitigación

Recomendaciones Técnicas (Mitigación)

Segmentación de Red: Implementar segmentación estricta (microsegmentación) para aislar sistemas de control logístico y servidores NAS de las estaciones de trabajo de usuarios. Restringir drásticamente la comunicación entre segmentos mediante firewalls internos.
Copia de Seguridad Inmutable (Immutable Backups): Establecer copias de seguridad fuera de línea (air-gapped) e inmutables para todos los sistemas críticos. Validar periódicamente la integridad y capacidad de restauración de estas copias mediante ejercicios de recuperación.
Autenticación Multifactor (MFA) Resistente al Phishing: Implementar MFA en todos los accesos remotos (VPN, RDP) y cuentas privilegiadas. Priorizar métodos resistentes al phishing (llaves hardware, autenticadores basados en FIDO2) sobre SMS o aplicaciones de OTP simples.
Principio de Mínimo Privilegio: Revisar y limitar los privilegios de todas las cuentas de usuario y administrador. Eliminar cuentas innecesarias y aplicar políticas de "just-in-time" para accesos privilegiados.
Deshabilitar Servicios Innecesarios: Deshabilitar protocolos y servicios vulnerables si no son estrictamente necesarios, especialmente RDP expuesto a internet sin protección y versiones antiguas de SMB.

Recomendaciones Preventivas (Basadas en MITRE ATT&CK)

User Training (M1017): Capacitar a empleados para reconocer correos de spearphishing (T1566) y evitar la ejecución de archivos adjuntos sospechosos (T1204). Realizar simulaciones periódicas.
Behavior Prevention on Endpoint (M1040): Implementar soluciones EDR que detecten y bloqueen comportamientos anómalos como la inyección de procesos, la desactivación de herramientas de seguridad (T1562) o el cifrado masivo de archivos (T1486).
Execution Prevention (M1038): Aplicar listas blancas de aplicaciones (Application Control) para permitir solo la ejecución de software autorizado, impidiendo la ejecución de herramientas como All.exe o Allpatch2.exe.
Filter Network Traffic (M1037): Configurar firewalls perimetrales y de próxima generación para inspeccionar tráfico saliente y bloquear conexiones a infraestructura C2 conocida (T1071.001) y transferencias de datos hacia destinos no autorizados (T1048).
Data Backup (M1053): Mantener copias de seguridad inmutables y fuera de línea (air-gapped) para neutralizar el impacto del cifrado (T1486) y la eliminación de copias de sombra (T1490).

Herramientas de Detección

Soluciones EDR (Endpoint Detection and Response): Plataformas como CrowdStrike, SentinelOne o Microsoft Defender for Endpoint pueden detectar comportamientos sospechosos: ejecución de All.exe, intentos de desactivación de servicios de seguridad, inyección de procesos y patrones de cifrado masivo.
SIEM con Correlación de Eventos: Herramientas como Splunk, QRadar o Azure Sentinel pueden correlacionar eventos de múltiples fuentes (logs de autenticación, tráfico de red, alertas EDR) para identificar la cadena completa del ataque (acceso inusual + movimiento lateral + exfiltración).
Network Traffic Analysis (NTA/NDR): Soluciones como Darktrace, ExtraHop o Zeek pueden detectar tráfico anómalo: conexiones a dominios .onion, transferencias de datos masivas a destinos externos inusuales (T1048), o comunicaciones con infraestructura C2 sospechosa.
Hunting Activo en Registro y Sistemas de Archivos: Búsqueda proactiva de:
- Presencia del archivo README-GENTLEMEN.txt en sistemas.
- Archivos con extensiones aleatorias desconocidas (ej. .7mtzhh, .ojuopo).
- Procesos inusuales como All.exe, Allpatch2.exe, ThrottleBlood.sys (driver cargado).
- Modificaciones sospechosas en RunKeys del registro (T1547.001).
YARA Rules: Reglas personalizadas para detectar binarios empaquetados con VMProtect o que contengan cadenas características de la nota de rescate.

Indicadores de Compromiso (IOCs)

📝 Artefactos en el Sistema de la Víctima

Nombre de la nota de rescate: README-GENTLEMEN.txt
Extensión de archivos cifrados: Extensión aleatoria de 6 caracteres (ej. .7mtzhh, .ojuopo, .x8k9m2)
Driver vulnerable (BYOVD): ThrottleStop.sys (a menudo renombrado a ThrottleBlood.sys)

🛠️ Herramientas de los Atacantes

KillAV Tool (original): All.exe
KillAV Tool (mejorada): Allpatch2.exe
Script de reconocimiento: 1.bat
Hashes (SHA-1):
- c0979ec20b87084317d1bfa50405f7149c3b5c5f (muestra de killAV)

🌐 Infraestructura de C2 y Extorsión

ID de Tox (Messenger): F8E24C7F5B12CD69C44C73F438F65E9BF560ADF35EBBDF92CF9A9B84079F8F04060FF98D098E
Sitio onion (Leak Site): tezwsse5czllksjb7cwp65rvnk4oobmzti2znn42i43bjdfd2prqqkad.onion

Referencias y Fuentes

Informe de incidente DeXpose (2026, Marzo 7). Ataque de ransomware TheGentlemen a Gerleinco.
Meskauskas, T. (2025, Noviembre 12). Virus ransomware Gentlemen: opciones de eliminación y descifrado. PCRisk.
MITRE ATT&CK Framework: Mapeo de TTPs (T1486, T1566, T1048, T1021, T1490, etc.).
Análisis de inteligencia de amenazas de fuentes abiertas (OSINT) sobre el grupo TheGentlemen.
Nota de rescate original README-GENTLEMEN.txt y muestras del ransomware.

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-03-08	1.0	Fernando Vargas Hincapié	Creación inicial de la entrada en la wiki basada en el informe de DeXpose y análisis de malware.

Etiquetas / Categorías

ransomware thegentlemen logistica colombia operacion-container operation-container doble-extorsion gerleinco byovd throttlestop mitre-attack t1486 t1566 campana-ransomware ciberwiki secops dfir threat-intelligence