Cómo el grupo Gentlemen neutraliza las defensas EDR de las empresas

En el mundo de la ciberseguridad empresarial, las soluciones EDR (Endpoint Detection and Response) se han convertido en una línea de defensa crítica contra ataques sofisticados. Sin embargo, una investigación de varios meses realizada por ESET Research ha revelado que el grupo de ransomware conocido como Gentlemen ha desarrollado y mantiene activamente un conjunto de herramientas especializadas en desactivar precisamente ese tipo de protecciones.

Este grupo opera bajo el modelo RaaS (Ransomware as a Service), lo que significa que no solo ejecuta ataques por cuenta propia, sino que también pone sus herramientas y capacidades a disposición de otros ciberdelincuentes a cambio de una parte de los rescates obtenidos. Este modelo de negocio criminal ha permitido que sus técnicas se propaguen y sean utilizadas en múltiples campañas de ataque alrededor del mundo.

Lo más preocupante del hallazgo de ESET es la sofisticación del llamado "EDR killer framework" desarrollado por Gentlemen. Este conjunto de herramientas está diseñado específicamente para identificar y neutralizar soluciones de seguridad activas en los sistemas de las víctimas antes de ejecutar el ransomware. Al desactivar los EDR, los atacantes eliminan la capacidad de detección y respuesta de la organización objetivo, dejándola prácticamente ciega ante el ataque que está por venir.

Para las empresas medianas en Ecuador y en toda la región, esta noticia es especialmente relevante. Muchas organizaciones han invertido en soluciones EDR creyendo que con eso es suficiente para estar protegidas. Sin embargo, la existencia de herramientas diseñadas exclusivamente para neutralizarlas demuestra que ninguna solución de seguridad es infalible por sí sola. La ciberseguridad efectiva requiere una estrategia de defensa en capas, donde múltiples controles se complementen entre sí.

La investigación de ESET subraya además la importancia de mantenerse actualizado sobre las tácticas, técnicas y procedimientos (TTPs) que utilizan los grupos de amenazas activos. El hecho de que ESET haya dedicado meses a investigar este framework refleja la complejidad y la evolución constante de las amenazas a las que se enfrentan hoy las organizaciones. Conocer al adversario es el primer paso para construir defensas más resilientes.

Otro punto clave que se desprende de este reporte es la necesidad de contar con monitoreo continuo y capacidades de respuesta a incidentes. Cuando un EDR es neutralizado, la organización necesita otros mecanismos —como la gestión de registros (logs), alertas de red y equipos especializados— que puedan detectar comportamientos anómalos y actuar con rapidez antes de que el daño sea irreversible.

En COTEDEM SAS acompañamos a nuestros clientes en Ecuador en la construcción de estrategias de ciberseguridad integrales que van más allá de una sola herramienta. Desde la evaluación de riesgos y la implementación de soluciones de seguridad hasta el monitoreo continuo y la respuesta ante incidentes, trabajamos para que su organización esté preparada frente a amenazas avanzadas como las que representa el grupo Gentlemen.