Gentlemen-Ransomware: Kernel-Treiber beendet 180 Sicherheitstools

Wie die Gentlemen-Ransomware Sicherheitstools deaktiviert

Eine neu dokumentierte Ransomware-Variante namens Gentlemen hebt die Endpoint-Umgehung auf eine neue Stufe. Berichten zufolge setzt die Malware einen Kernel-Treiber ein, der systematisch fast 180 Sicherheitsprozesse beendet, bevor sie überhaupt mit der Verschlüsselung von Dateien beginnt. Da der Treiber auf Kernel-Ebene operiert – der tiefsten und privilegiertesten Schicht eines Betriebssystems –, kann er Antiviren-Engines, Endpoint-Detection-and-Response-Agenten (EDR) und andere Überwachungstools abschalten, die normalerweise die Verschlüsselungsroutine melden oder blockieren würden.

Die Reihenfolge ist entscheidend. Herkömmliche Ransomware löst häufig Sicherheitswarnungen aus, sobald sie beginnt, Dateien anzufassen, und gibt Verteidigern ein knappes Zeitfenster, um eine Maschine zu isolieren oder den Prozess zu beenden. Indem Gentlemen zuerst die Sicherheitssoftware deaktiviert, wird dieses Frühwarnsystem vollständig beseitigt. Die anschließende Verschlüsselungsphase verläuft weitgehend ungehindert, da die Tools, die sie erkennen sollten, bereits zum Schweigen gebracht wurden.

Warum das Beenden von EDR- und Antiviren-Prozessen das Unternehmensrisiko erhöht

Für Unternehmen, die sich stark auf Endpoint-Sicherheit als erste Verteidigungslinie verlassen, ist diese Vorgehensweise besonders schädlich. EDR-Plattformen basieren auf der Annahme, dass sie auch während eines Angriffs weiterlaufen und melden. Wenn ein Kernel-Treiber diese Transparenz mit einem Schlag beseitigen kann, wird das gesamte Erkennungsmodell in dem Moment untergraben, in dem es am dringendsten benötigt wird.

Dies ist keine isolierte Technik. Sie fügt sich in ein breiteres Muster ein, das in der gesamten Ransomware-Landschaft dokumentiert ist, wo Gruppen zunehmend die Deaktivierung von Verteidigungstools als ersten Schritt priorisieren und nicht als nachträglichen Gedanken. Der Halcyon-Bericht Q2 2026 über Ransomware-Gruppen, die EDR deaktivieren ergab, dass selbst bei rückläufigem Gesamtvolumen der Angriffe die Raffinesse der Techniken zur Blendung der Sicherheitssoftware tatsächlich zunahm. Die Kernel-Treiber-Methode von Gentlemen scheint Teil desselben Trends zu sein: insgesamt weniger Angriffe, aber jeder einzelne darauf ausgelegt, härter zuzuschlagen, sobald er Fuß gefasst hat.

Für Unternehmen lautet die Lehre, dass Endpoint-Sicherheit nicht die einzige Verteidigungslinie sein darf. Wenn eine einzelne Technik Dutzende von Sicherheitsprozessen auf einmal neutralisieren kann, muss der Rest des Sicherheitsstapels – Netzwerksegmentierung, Zugriffskontrollen und Überwachung außerhalb des Endpunkts selbst – stark genug sein, um das aufzufangen, was der Endpunkt verpasst.

Wo VPNs und netzwerkbasierte Abwehrmaßnahmen in die Ransomware-Prävention passen

An dieser Stelle spielen netzwerkbasierte Tools, einschließlich VPNs, eine unterstützende Rolle in einer gestaffelten Verteidigungsstrategie. Ein VPN wird Ransomware nicht daran hindern, Dateien zu verschlüsseln, sobald sie bereits auf einem Gerät läuft, und sollte niemals als alleinige Lösung für eine Bedrohung wie Gentlemen vermarktet werden. Aber VPNs und andere Zugriffskontrollen auf Netzwerkebene erfüllen einen echten Zweck, indem sie einschränken, wie sich Angreifer seitlich im Netzwerk bewegen und wie sie den initialen Zugang herstellen, der überhaupt zu einer Ransomware-Bereitstellung führt.

Viele Ransomware-Einbrüche beginnen mit kompromittierten Zugangsdaten oder offenliegenden Remote-Zugriffspunkten, nicht mit der Malware selbst. Die Einschränkung und Verschlüsselung von Fernverbindungen, die Segmentierung des Netzwerkverkehrs und die Forderung nach authentifiziertem Zugriff, bevor ein Gerät sensible Systeme erreichen kann, reduzieren alle die Anzahl der Wege, die ein Angreifer hat, um zu einem Rechner zu gelangen, auf dem er schließlich etwas wie einen bösartigen Kernel-Treiber ausführen kann. Mit anderen Worten: VPNs sind vor allem vor dem Beginn eines Angriffs von Bedeutung, nicht nachdem die Sicherheitssoftware bereits deaktiviert wurde.

Konsequenzen für Verbraucher: Backups, mehrschichtige Sicherheit und Früherkennung

Obwohl Gentlemen vorrangig im Kontext von Unternehmensangriffen diskutiert wird, gilt die grundlegende Lehre auch für Privatanwender und kleine Unternehmen. Kein einzelnes Sicherheitstool – sei es Antivirensoftware, ein EDR-Agent oder ein VPN – kann für sich allein als Komplettlösung betrachtet werden.

Was das für Sie bedeutet

Wenn Sie die IT-Sicherheit für ein Unternehmen verwalten oder einfach Ihre eigenen Geräte effektiver schützen möchten, verringern einige praktische Schritte Ihre Anfälligkeit für Angriffe dieser Art:

• Offline- oder unveränderliche Backups pflegen. Falls es doch zur Verschlüsselung kommt, ist ein sauberes Backup, auf das Ransomware keinen Zugriff hat, nach wie vor der schnellste Weg zur Wiederherstellung, ohne jemanden bezahlen zu müssen.
• Verteidigungsmaßnahmen schichten. Kombinieren Sie Endpoint-Schutz mit netzwerkbasierten Kontrollen wie VPNs, Firewalls und Zugriffssegmentierung, sodass kein einzelnes deaktiviertes Tool Sie vollständig ungeschützt lässt.
• Auf Frühwarnsignale achten. Ungewöhnliche Treiberinstallationen, unerwartete Prozessbeendigungen oder Sicherheitssoftware, die plötzlich verstummt, sind alles Anzeichen, die sofort untersucht werden sollten, anstatt sie zu ignorieren.
• Patchen und Treiberinstallationsrechte einschränken. Kernel-Treiber erfordern erhöhte Berechtigungen zum Laden, daher schließt die Einschränkung, wer und was Treiber auf einem System installieren darf, einen der wichtigsten Zugangspunkte von Gentlemen.

Die Kernel-Treiber-Technik der Gentlemen-Ransomware ist eine deutliche Mahnung, dass Angreifer aktiv Wege entwickeln, um die von Sicherheitsteams am meisten genutzten Tools zu umgehen. Schutz bedeutet, über ein einzelnes Produkt hinauszudenken und sich überlappende Verteidigungsschichten aufzubauen, sodass, wenn eine Sicherheitsvorkehrung versagt, eine andere weiterhin zwischen Ihren Daten und einem Angreifer steht.