Cada cierto tiempo surge un nuevo actor de amenazas en el cambiante y mutante panorama del ransomware. Uno de los últimos en aparecer es Gentlemen.
Sin embargo, a diferencia de otros bandas, no hay evidencias de que Gentlemen opere bajo un modelo de ransomware como servicio (RaaS). 

Tampoco está muy claro si se trata de un grupo completamente nuevo o ha surgido como un ‘rebranding’ o escisión de otra banda ya existente. No obstante, su rápida proliferación deja entrever que tras este nuevo actor de amenazas hay un equipo coordinado con amplia experiencia en ataques a organizaciones. 

Hasta la fecha sus objetivos se han centrado principalmente en Asia-Pacífico, Norteamérica, Sudamérica y Oriente Medio, según informa AhnLab. 

La banda ha atacado a al menos 17 países en total, centrándose en empresas manufactureras, de construcción, de atención médica y de seguros. 

Los analistas de seguridad que han seguido su trayectoria han comprobado que New Gentlemen suele enfocarse en organizaciones grandes y medianas, sirviéndose de técnicas avanzadas para evadir la detección y propagarse dentro de entornos corporativos. 

Poderoso caballero 

Este ransomware incorpora múltiples mecanismos de evasión durante su ejecución. Antes del cifrado desactiva Windows Defender, finaliza servicios de backups como Veeam, paraliza servicios de bases de datos (como MSSQL y MongoDB) y borra registros del sistema para obstruir el análisis forense. 

Por otro lado, Gentlemen restringe la ejecución a los entornos previstos mediante un parámetro de contraseña obligatoria. Si la clave no es correcta, el malware finaliza instantáneamente, impidiendo su activación o análisis involuntario por parte de los investigadores. 

Para poner las cosas todavía más difíciles el ransomware usa un esquema criptográfico híbrido. Así, cada archivo es cifrado con una clave única y un nonce, generados dinámicamente para evitar el descifrado si no se tiene la clave privada del atacante. 

Asimismo, aquellos archivos que pesan menos de 1 MB se cifran completamente, pero los que son más grandes tienen segmentos seleccionados cifrados. 

Tras el cifrado el malware deja una nota de rescate con el nombre README-GENTLEMEN.txt en todos los directorios afectados y un nuevo fondo de escritorio a la víctima, donde aparecen unos caballeros bastante siniestros y una frase aclarando que la red ha sido intervenida por la banda.