Как рансъмуерът Gentlemen деактивира инструментите за сигурност

Новодокументиран щам рансъмуер, наречен Gentlemen, издига избягването на крайни точки на ново ниво. Според информацията за заплахата, злонамереният софтуер внедрява kernel драйвер, който систематично прекратява близо 180 процеса за сигурност, преди изобщо да започне да криптира файлове. Тъй като драйверът работи на ниво ядро – най-дълбокия и най-привилегирования слой на операционната система – той може да спре антивирусни двигатели, агенти за откриване и отговор на крайни точки (EDR) и други инструменти за наблюдение, които обикновено биха забелязали или блокирали рутината за криптиране.

Тази последователност има значение. Традиционният рансъмуер често задейства предупреждения за сигурност в момента, в който започне да докосва файлове, което дава на защитниците тесен прозорец да изолират машина или да прекратят процеса. Като първо деактивира софтуера за сигурност, Gentlemen напълно премахва тази система за ранно предупреждение. Следващата фаза на криптиране се случва до голяма степен без съпротива, тъй като инструментите, предназначени да я открият, вече са заглушени.

Защо спирането на EDR и антивирусни процеси повишава корпоративния риск

За организации, които разчитат силно на сигурността на крайните точки като основна линия на защита, този подход е особено вреден. EDR платформите са изградени върху предположението, че ще продължат да работят и да докладват дори докато са атакувани. Когато драйвер на ниво ядро може да отнеме тази видимост с един ход, целият модел на откриване бива подкопан точно в момента, когато е най-необходим.

Това не е изолирана техника. Тя се вписва в по-широк модел, документиран в ландшафта на рансъмуера, при който групите все по-често приоритизират деактивирането на защитните инструменти като първа стъпка, а не като закъсняла мисъл. Докладът на Halcyon за Q2 2026 относно групите за рансъмуер, деактивиращи EDR установи, че дори когато общият обем на атаките с рансъмуер намалява, сложността на техниките, използвани за заслепяване на софтуера за сигурност, всъщност се увеличава. Методът с kernel драйвер на Gentlemen изглежда е част от същата тенденция: по-малко атаки като цяло, но всяка от тях проектирана да удря по-силно, след като веднъж е стъпила на устройство.

За предприятията изводът е, че сигурността на крайните точки не може да бъде единствената линия на защита. Ако една единствена техника може да неутрализира десетки процеси за сигурност наведнъж, тогава останалата част от защитния стек – мрежова сегментация, контрол на достъпа и наблюдение извън самата крайна точка – трябва да бъде достатъчно силна, за да улови това, което крайната точка пропуска.

Къде се вписват VPN и защитите на мрежово ниво в предотвратяването на рансъмуер

Тук мрежовите инструменти, включително VPN, играят поддържаща роля в стратегия за слоева защита. VPN няма да спре рансъмуера да криптира файлове, след като той вече работи на устройство, и никога не трябва да се предлага като самостоятелно решение за заплаха като Gentlemen. Но VPN и другите контроли за мрежов достъп изпълняват реална функция в ограничаването на начина, по който атакуващите се придвижват странично в мрежата и как установяват първоначалния достъп, който води до внедряване на рансъмуер на първо място.

Много прониквания на рансъмуер започват с компрометирани идентификационни данни или изложени точки за отдалечен достъп, а не със самия злонамерен софтуер. Ограничаването и криптирането на отдалечените връзки, сегментирането на мрежовия трафик и изискването на удостоверен достъп, преди дадено устройство да достигне чувствителни системи – всичко това намалява броя на пътищата, по които атакуващият може да стигне до машина, на която в крайна сметка да пусне нещо като зловреден kernel драйвер. С други думи, VPN имат значение най-вече преди началото на атаката, а не след като софтуерът за сигурност вече е бил деактивиран.

Изводи за потребителите: Резервни копия, слоева сигурност и ранно откриване

Макар че Gentlemen се обсъжда предимно в контекста на корпоративни атаки, основният урок важи и за индивидуални потребители и малки бизнеси. Нито един инструмент за сигурност, независимо дали е антивирусен софтуер, EDR агент или VPN, не може да се третира като цялостно решение сам по себе си.

Какво означава това за вас

Ако управлявате ИТ сигурност за бизнес или просто искате да защитите собствените си устройства по-ефективно, ето няколко практични стъпки, които намаляват излагането ви на атаки като тази:

  • Поддържайте офлайн или неизменни резервни копия. Ако се стигне до криптиране, чисто резервно копие, до което рансъмуерът няма достъп, все още е най-бързият начин да се възстановите, без да плащате на никого.
  • Наслагвайте защитите си. Комбинирайте защита на крайните точки с контроли на мрежово ниво като VPN, защитни стени и сегментиране на достъпа, така че нито един деактивиран инструмент да не ви оставя напълно изложени.
  • Следете за ранни предупредителни сигнали. Необичайни инсталации на драйвери, неочаквано прекратяване на процеси или внезапно замлъкване на софтуер за сигурност са сигнали, които си струва да бъдат проучени незабавно, вместо да се пренебрегват.
  • Прилагайте пачове и ограничавайте привилегиите за инсталиране на драйвери. Kernel драйверите изискват повишени права за зареждане, затова ограничаването на това кой и какво може да инсталира драйвери в системата затваря една от ключовите входни точки на Gentlemen.

Техниката с kernel драйвер на рансъмуера Gentlemen е ясно напомняне, че атакуващите активно проектират начини за заобикаляне на инструментите, на които защитниците разчитат най-много. Да останете защитени означава да мислите отвъд всеки отделен продукт и да изграждате припокриващи се слоеве на защита, така че когато един предпазен механизъм откаже, друг все още да стои между вашите данни и атакуващия.