Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración editorial de copias VHDX y extracción de datos por un túnel.

Qué se ha confirmado

Cisco Talos examinó un directorio abierto que considera asociado a un operador de The Gentlemen y encontró herramientas para ransomware en ESXi y Windows.

El historial de comandos mostraba la preparación de túneles con Chisel y Ligolo y de herramientas de reconocimiento y Active Directory como Nmap, Masscan, BloodHound, NetExec, Responder e Impacket.

Talos observó el montaje de una carpeta compartida de copias de seguridad y la inspección de sistemas Windows dentro de archivos VHDX; el historial incluía copias de ntds.dit, SAM y SYSTEM.

Según Talos, el operador empleó secretsdump.py para extraer credenciales y hashes de los archivos recopilados, y hay trazas de compresión de VHDX y transferencia a almacenamiento Wasabi mediante Rclone.

El grupo de ransomware apareció en 14 incidentes observados en Japón entre enero y julio de 2026, el mayor número entre los grupos identificados en el estudio.

Talos halló comentarios en ruso y entradas de historial compatibles con un teclado ruso, pero presenta esa pista solo como posibilidad de participación de una persona rusohablante.

Análisis de Defensops

El hallazgo más útil para la defensa es la relación entre acceso a la red interna, consulta de Active Directory y uso de copias de seguridad como fuente de credenciales. Una copia VHDX accesible desde una cuenta comprometida puede aportar material para ampliar privilegios aunque el atacante no llegue directamente al controlador de dominio. La secuencia descrita justifica revisar permisos y accesos a los repositorios de respaldo junto con los controles de los sistemas activos.

El historial de una infraestructura atribuida de forma tentativa revela preparación, comandos ejecutados y posibles objetivos de extracción. No equivale por sí mismo a una reconstrucción completa de cada intrusión ni demuestra que todas las herramientas se usaran con éxito contra todas las víctimas. La atribución lingüística también es débil: idioma de comentarios y disposición de teclado no identifican nacionalidad, organización ni operador concreto.

El estudio se centra en Japón y recoge actividad hasta julio, por lo que sus cifras describen esa muestra y periodo. Para otras organizaciones, el valor práctico está en contrastar señales de túneles, enumeración de identidades, lectura de backups y transferencias grandes con los cambios y tareas de administración aprobados, sin tratar una herramienta de uso dual como prueba aislada de compromiso.

Prioridades de revisión

Revisar con urgencia qué identidades pueden montar las copias de seguridad y leer VHDX o archivos del sistema de Active Directory; retirar permisos que no correspondan a funciones documentadas.

Buscar en registros conservados montajes inusuales de recursos de backup, acceso a VHDX y copias de ntds.dit, SAM o SYSTEM; preservar evidencias antes de intervenir en sistemas sospechosos.

Correlacionar sesiones de VPN y túneles con enumeración SMB o LDAP, cambios de privilegios y accesos a hosts críticos; verificar si cada secuencia corresponde a una actividad autorizada.

Examinar transferencias de gran volumen desde servidores de respaldo o administración, especialmente cuando se acompañen de compresión o de clientes de sincronización como Rclone; confirmar destinos y propietarios de la tarea.

Comprobar que el acceso de proveedores y cuentas administrativas a VPN, respaldos y servicios internos tenga MFA, plazo y registro de conexiones, y corregir las excepciones identificadas.

Qué no se ha confirmado

Talos califica la asociación del directorio abierto con The Gentlemen como probable, no como identidad demostrada del operador.

El historial de comandos no permite saber qué operaciones concluyeron con éxito ni a cuántas víctimas corresponden.

Las pistas lingüísticas no establecen la nacionalidad ni la identidad del atacante.

Fuente

Cisco Talos. Fecha indicada: 2026-09-17.