Die Gentlemen-Ransomware: Wie sie Ihre EDR-Tools blendet

Eine Ransomware-Operation namens The Gentlemen, die von Microsoft unter dem Namen Storm-2697 verfolgt wird, erregt neue Aufmerksamkeit von Sicherheitsforschern aufgrund einer spezifischen und besorgniserregenden Fähigkeit: der Möglichkeit, Endpoint Detection and Response (EDR)-Tools zu deaktivieren, bevor ein Angriff gestartet wird. Ein neues Advisory erläutert, wie diese Gruppe genau die Verteidigungsmaßnahmen blendet, auf die Organisationen vertrauen, um Eindringlinge zu erkennen, und was Verteidiger tun können, um die Lücke zu schließen.

The Gentlemen operiert als Ransomware-as-a-Service-Plattform (RaaS), was bedeutet, dass die Kerngruppe die Malware entwickelt und wartet, während ein Netzwerk von Affiliates die eigentlichen Einbrüche und Verhandlungen durchführt. Dieses Modell ist zur dominierenden Struktur hinter groß angelegten Ransomware-Kampagnen geworden, da es den Betreibern ermöglicht, schnell zu skalieren und ihre Tools an mehr Angreifer zu verteilen, ohne selbst die praktische Eindringarbeit zu leisten. Forscher beschreiben The Gentlemen als finanziell motiviert, mit russischsprachigem Ursprung und schnellem Wachstum in einem relativ kurzen Zeitraum – ein Muster, das andere RaaS-Gruppen widerspiegelt, die aggressiv expandiert sind, sobald ihr Affiliate-Modell ausgereift war.

Wie die Gentlemen-Ransomware EDR-Verteidigung blendet

EDR-Software soll die letzte Verteidigungslinie auf einem kompromittierten Gerät sein: Sie überwacht verdächtiges Prozessverhalten, markiert ungewöhnliche Dateiakivitäten und kann ein Gerät isolieren, bevor Ransomware die Verschlüsselung von Dateien abschließt. Der Ansatz von The Gentlemen zielt speziell auf diese Ebene ab. Anstatt zu versuchen, sich an EDR-Tools vorbeizuschleichen, ist die Toolbox der Gruppe darauf ausgelegt, diese zu deaktivieren, zu deinstallieren oder anderweitig auszuschalten – wodurch das Alarmsystem effektiv entfernt wird, bevor der Einbruch überhaupt bemerkt wird.

Diese Art von EDR-Killer-Fähigkeit ist zu einem wiederkehrenden Merkmal moderner Ransomware-Toolkits geworden und verändert die Rechnung für Verteidiger. Ein Netzwerk, das davon ausgeht, dass sein EDR-Agent immer berichtet, ist verwundbar, wenn der erste Schritt eines Angreifers darin besteht, diesen Agenten zum Schweigen zu bringen. Sobald die Sicherheitswerkzeuge dunkel werden, können die Ransomware-Betreiber lateral navigieren, Anmeldeinformationen ernten und Daten für die Exfiltration vorbereiten – mit weitaus geringerem Risiko der Früherkennung. Dies spiegelt einen breiteren Trend wider, der bei Ransomware-Familien zu beobachten ist: Bedrohungsakteure priorisieren zunehmend die Deaktivierung von Sicherheitstools als ersten Schritt, nicht als Nebengedanken, da dies ihnen die Zeit verschafft, die für eine vollständige Netzwerkverschlüsselungs- und Erpressungskampagne benötigt wird.

Warum dies über den Lösegeldschein hinaus wichtig ist

Die Datenschutzimplikationen der EDR-Blendung gehen über die unmittelbare Störung eines Ransomware-Angriffs hinaus. Die meisten modernen Ransomware-Operationen, einschließlich Double-Extortion-Gruppen, stehlen Daten, bevor sie diese verschlüsseln. Wenn EDR-Tools früh im Eindringprozess deaktiviert werden, verlieren Organisationen die Sichtbarkeit darüber, was genau während des Zeitfensters, in dem die Angreifer das Netzwerk kontrollierten, abgerufen, kopiert oder exfiltriert wurde. Diese Unsicherheit erschwert Benachrichtigungen über Datenschutzverletzungen, behördliche Meldungen und jeden Versuch, betroffenen Kunden oder Patienten mitzuteilen, welche Daten möglicherweise offengelegt wurden.

Dies ist ein vertrautes Muster in der Ransomware-Landschaft. Advisories zu anderen aktiven Gruppen, wie die gemeinsamen Warnungen rund um Gunra-Ransomware, die Gesundheitseinrichtungen angreift, haben wiederholt darauf hingewiesen, wie Angreifer blinde Flecken in der Überwachung ausnutzen, um den Schaden zu maximieren, bevor jemand es bemerkt. Insbesondere der Gesundheitssektor ist ein wiederkehrendes Ziel, wie in Advisories zur wachsenden Bedrohung durch Gunra für Krankenhäuser detailliert beschrieben, da sensible Patientendaten kombiniert mit operativer Dringlichkeit Organisationen dazu bringen, schneller zu zahlen. Der EDR-Blendungsansatz von The Gentlemen passt in dasselbe Playbook: Deaktiviere die Wächter, dann lass dir Zeit.

Was das für Sie bedeutet

Wenn Sie IT- oder Sicherheitsoperationen für ein Unternehmen leiten, ist dieses Advisory eine Erinnerung daran, dass EDR-Software allein keine Garantie für Schutz ist. Angreifer bauen aktiv Tools, die darauf ausgelegt sind, sie zu besiegen, und ein einzelner deaktivierter Agent auf einem Rechner kann der Unterschied zwischen einem eingedämmten Vorfall und einer netzwerkweiten Verletzung sein. Abgestufte Verteidigungsmaßnahmen, einschließlich Netzwerküberwachung auf Netzwerkebene, die nicht allein von Endpoint-Agenten abhängt, die Bericht erstatten, werden zunehmend notwendig, um einen Eindringling zu erkennen, wenn das EDR-Signal verstummt.

Für alltägliche Benutzer und Verbraucher dreht sich die Kernbotschaft weniger um direkte Maßnahmen, sondern mehr um Bewusstsein. Ransomware-Gruppen wie The Gentlemen zielen letztlich auf Organisationen ab, die Ihre Daten halten, von Arbeitgebern über Gesundheitsdienstleister bis hin zu Dienstleistungsunternehmen. Wenn diese Organisationen die Sichtbarkeit in einen Angriff verlieren, können die resultierenden Benachrichtigungen über Datenschutzverletzungen verzögert oder unvollständig sein – weshalb es wichtiger denn je ist, wachsam gegenüber Offenlegungen von Datenschutzverletzungen zu bleiben und schnell auf Passwortänderungen oder Kreditüberwachungsangebote zu reagieren.

EDR-umgehender Ransomware einen Schritt voraus sein

Die Verteidigung gegen The Gentlemen und ähnliche Gruppen erfordert, EDR als eine von mehreren Ebenen zu behandeln und nicht als einen einzelnen Fehlerpunkt. Sicherheitsteams sollten auf unbefugte Versuche achten, Sicherheitsagenten zu deinstallieren oder zu deaktivieren, da dieses Verhalten selbst ein starkes frühes Warnsignal für einen aktiven Eindringling ist. Auch das Patchen von Systemen ist wichtig, da Angreifer häufig auf bekannte Schwachstellen angewiesen sind, um den anfänglichen Zugang zu erhalten, der benötigt wird, um Sicherheitstools zu erreichen und zu deaktivieren – eine Dynamik, die auch in aktuellen Patch-Anleitungen wie dem Windows-Zero-Day-Advisory für CVE-2026-68820 zu sehen ist.

Letztlich unterstreicht der Aufstieg der EDR-Evasions-Taktiken der Gentlemen-Ransomware eine Verschiebung in der Arbeitsweise von Ransomware-Gruppen: Der Kampf beginnt jetzt vor der Verschlüsselung, in dem Moment, in dem Angreifer versuchen, Ihre Verteidigung zu blenden. Organisationen, die Redundanz in ihre Überwachung einbauen, Netzwerke segmentieren, um laterale Bewegung zu begrenzen, und Mitarbeiter darin schulen, frühe Anzeichen von Manipulation an Sicherheitssoftware zu erkennen, werden weitaus besser positioniert sein als diejenigen, die sich auf EDR als ein einziges Sicherheitsnetz verlassen.

Umsetzbare Erkenntnisse:

• Überprüfen Sie, ob Ihre EDR- oder Antivirensoftware Manipulationsschutz aktiviert hat und nicht ohne zusätzliche Authentifizierung deaktiviert werden kann.
• Richten Sie Warnmeldungen speziell für EDR-Agenten-Deinstallationen, -Deaktivierungen oder -Dienststopps ein, da dieses Verhalten für sich genommen eine rote Flagge ist.
• Legen Sie netzwerkbasierte Überwachung zusätzlich zu Endpoint-Tools an, damit die Sichtbarkeit nicht verschwindet, wenn ein Agent ausfällt.
• Patchen Sie bekannte Schwachstellen umgehend, da ungepatchte Systeme der einfachste Einstiegspunkt für RaaS-Affiliates bleiben.
• Wenn Sie Verbraucher sind, achten Sie auf Benachrichtigungen über Datenschutzverletzungen von Organisationen, mit denen Sie interagieren, und handeln Sie schnell bei empfohlenen Passwort- oder Kontosicherheitsänderungen.