GentleKiller: el ransomware que invade el kernel para desactivar defensas y amenazar todo el ecosistema de seguridad

Los investigadores han desentrañado un desarrollo inquietante dentro de la economía delictiva: el grupo detrás del ransomware Gentlemen no se limita a cifrar o robar datos, sino que mantiene y evoluciona una caja de herramientas destinada a desactivar soluciones de seguridad en los endpoints. GentleKiller, la pieza más representativa de ese arsenal, es una familia de utilidades que demuestra cómo los operadores de RaaS (ransomware-as-a-service) invierten en capacidades técnicas para asegurar el éxito de sus intrusiones desde las primeras fases del ataque.

Según el análisis publicado por ESET, GentleKiller no es un binario único sino al menos ocho variantes que suplantan nombres y comportamientos de productos legítimos —Kaspersky, Valorant, Javelin, WatchDog, entre otros— para evitar la detección. Estas variantes comparten técnicas de ofuscación y lógica para terminar procesos, y están protegidas con empaquetadores comerciales como Enigma y Themida, lo que complica la ingeniería inversa y la respuesta.

La característica técnica más preocupante es el uso reiterado de la técnica conocida como BYOVD —bring your own vulnerable driver—, que permite a los atacantes cargar controladores con vulnerabilidades conocidas para obtener privilegios en el kernel y deshabilitar motores de seguridad. ESET documenta que cada variante de GentleKiller recurre a diferentes controladores vulnerables, y que el marco fue diseñado para facilitar el intercambio de drivers cuando aparecen nuevas fallas públicas.

El alcance del blanco es amplio: GentleKiller apunta a más de 400 procesos relacionados con aproximadamente 48 productos y proveedores de seguridad, incluyendo grandes nombres como Microsoft, CrowdStrike, SentinelOne, Palo Alto, Sophos, Trend Micro, ESET, Bitdefender y McAfee/Trellix. Esta enumeración deja claro que el objetivo no es una defensa aislada sino el ecosistema completo de detección y protección.

Además de su herramienta propietaria, el conjunto de armas del RaaS incluye utilidades externas como HexKiller, ThrottleBlood y HavocKiller, y un ladrón de credenciales basado en Rust llamado OxideHarvest, lo que sugiere que los operadores mezclan desarrollos internos con herramientas ajenas para aumentar redundancia y complicar la atribución. La adopción de Rust en OxideHarvest también aporta pistas sobre la especialización del desarrollo o la subcontratación.

La estrategia del grupo incluye observación previa y selección de víctimas; ESET indica que las configuraciones de FortiGate han servido como criterio para elegir objetivos, un dato preocupante cuando existen filtraciones masivas de credenciales VPN como el caso conocido como “FortiBleed”. En operaciones anteriores el RaaS se vinculó con compromisos a gran escala, como el de un proveedor energético rumano, y con el empleo de botnets tipo SystemBC para fortalecer el acceso y la exfiltración.

¿Qué implicaciones prácticas tiene todo esto para defensores y responsables de seguridad? Primero, que la superficie de ataque incluye componentes de bajo nivel del sistema (drivers) y no sólo procesos de usuario, por lo que las medidas tradicionales de EDR pueden ser neutralizadas si un atacante logra ejecutarse con código en el kernel. Segundo, que la presencia de firmas robadas o inválidas y empaquetadores comerciales exige controles adicionales de integridad y telemetría para distinguir artefactos maliciosos de software legítimo.

En cuanto a mitigaciones concretas: es crítico aplicar políticas de bloqueo rígidas para controladores no firmados o procedentes de proveedores no verificados, habilitar y reforzar mecanismos como Secure Boot y la protección de integridad del kernel (Kernel DMA Protection/HVCI cuando esté disponible), y desplegar controles de integridad de código como Windows Defender Application Control o similares. También conviene activar la protección contra manipulación en las soluciones EDR, auditar cargas de drivers en los logs del sistema y establecer alertas SIEM para eventos que indiquen intentos de cargar drivers sospechosos o terminar procesos de seguridad.

En la capa de gestión y red, es imprescindible reducir privilegios administrativos, segmentar redes críticas, rotar y forzar la regeneración de credenciales en appliances expuestos (especialmente VPN y dispositivos de red), y adoptar autenticación multifactor en accesos administrativos. Las organizaciones con FortiGate deberían verificar configuraciones y credenciales expuestas y seguir las guías oficiales para remediación y rotación de secretos. Recursos como la iniciativa Stop Ransomware del gobierno de EE. UU. ofrecen guías prácticas que pueden ser útiles como marco de respuesta: https://www.cisa.gov/stopransomware.

También es aconsejable someter las defensas a pruebas proactivas de emulación de ataques y simulación de brechas para descubrir huecos operativos antes que los atacantes; múltiples informes de la industria muestran que muchas intrusiones pasan sin activar alertas efectivas en SIEM/EDR. Para entender cómo están usando los operadores estas técnicas y contextualizar la amenaza, la cobertura periodística y técnica amplía la visión, por ejemplo la nota de seguimiento sobre GentleKiller en medios especializados: BleepingComputer.

Por último, la respuesta ante una detección debe incluir la preservación de evidencias (imágenes de memoria y disco), la búsqueda proactiva de indicadores en otros endpoints y controladores, la coordinación con proveedores de seguridad y, si procede, la notificación a las autoridades competentes. El modelo de negocio RaaS y la modularidad de herramientas como GentleKiller muestran que los atacantes seguirán iterando: la defensa requiere, por tanto, no solo tecnologías actualizadas sino procesos, segmentación, y ejercicios regulares que consideren amenazas a nivel de kernel y cadena de suministro de software.