Une opération de ransomware connue sous le nom de The Gentlemen, suivie par Microsoft sous le nom de Storm-2697, attire une nouvelle attention des chercheurs en sécurité pour une capacité spécifique et inquiétante : celle de désactiver les outils de détection et de réponse des endpoints (EDR) avant de lancer une attaque. Un nouvel avis détaille comment ce groupe aveugle les défenses mêmes sur lesquelles les organisations comptent pour repérer les intrusions, et ce que les défenseurs peuvent faire pour combler cette lacune.

The Gentlemen opère en tant que plateforme de ransomware-as-a-service (RaaS), ce qui signifie que le groupe principal construit et maintient le malware tandis qu'un réseau d'affiliés mène les intrusions et les négociations proprement dites. Ce modèle est devenu la structure dominante des campagnes de ransomware à grande échelle, car il permet aux opérateurs de se développer rapidement, en diffusant leurs outils à davantage d'attaquants sans avoir à faire eux-mêmes le travail d'intrusion. Les chercheurs décrivent The Gentlemen comme un groupe motivé financièrement, d'origine russophone et en croissance rapide sur une période relativement courte, un schéma qui reflète celui d'autres groupes RaaS ayant connu une expansion agressive une fois leur modèle d'affiliés mature.

Comment le ransomware The Gentlemen aveugle les défenses EDR

Le logiciel EDR est conçu pour être la dernière ligne de défense sur un appareil compromis : il surveille les comportements suspects des processus, signale les activités de fichiers inhabituelles et peut isoler une machine avant que le ransomware ne termine le chiffrement des fichiers. L'approche de The Gentlemen cible spécifiquement cette couche. Plutôt que de tenter de passer inaperçu devant les outils EDR, la boîte à outils du groupe est conçue pour les désactiver, les désinstaller ou les neutraliser carrément, supprimant ainsi le système d'alarme avant même que l'intrusion ne soit remarquée.

Ce type de capacité de neutralisation EDR est devenu une fonctionnalité récurrente dans les boîtes à outils de ransomware modernes, et cela change la donne pour les défenseurs. Un réseau qui suppose que son agent EDR signalera toujours les menaces est vulnérable si la première action d'un attaquant est de faire taire cet agent. Une fois l'outil de sécurité neutralisé, les opérateurs de ransomware peuvent se déplacer latéralement, récolter des identifiants et préparer des données pour exfiltration avec un risque bien moindre de détection précoce. Cela reflète une tendance plus large observée dans les familles de ransomware : les acteurs malveillants privilégient de plus en plus la désactivation des outils de sécurité comme première étape, et non comme une réflexion après coup, car cela leur permet de gagner le temps nécessaire pour mener une campagne complète de chiffrement du réseau et d'extorsion.

Pourquoi cela dépasse le simple avis de rançon

Les implications en matière de confidentialité de l'aveuglement EDR vont au-delà de la perturbation immédiate d'une attaque de ransomware. La plupart des opérations de ransomware modernes, y compris les groupes de double extorsion, volent des données avant de les chiffrer. Si les outils EDR sont désactivés tôt dans l'intrusion, les organisations perdent la visibilité sur ce qui a été exactement consulté, copié ou exfiltré pendant la fenêtre où les attaquants contrôlaient le réseau. Cette incertitude complique la notification de violation, les rapports réglementaires et toute tentative d'informer les clients ou patients concernés des données potentiellement exposées.

C'est un schéma familier dans le paysage des ransomware. Les avis couvrant d'autres groupes actifs, comme les avertissements conjoints émis concernant le ransomware Gunra ciblant les organismes de santé, ont à plusieurs reprises signalé comment les attaquants exploitent les angles morts de la surveillance pour maximiser les dégâts avant que quiconque ne s'en aperçoive. Le secteur de la santé en particulier a été une cible récurrente, comme détaillé dans les avis sur la menace croissante de Gunra pour les hôpitaux, car les données sensibles des patients combinées à l'urgence opérationnelle rendent les organisations plus susceptibles de payer rapidement. L'approche d'aveuglement EDR de The Gentlemen s'inscrit dans ce même manuel : neutraliser les surveillants, puis prendre son temps.

Ce que cela signifie pour vous

Si vous gérez les opérations informatiques ou de sécurité d'une entreprise, cet avis vous rappelle que le logiciel EDR seul n'est pas une garantie de protection. Les attaquants construisent activement des outils conçus pour le vaincre, et un seul agent désactivé sur une machine peut faire la différence entre un incident maîtrisé et une violation à l'échelle du réseau. Des défenses en couches, y compris une surveillance au niveau du réseau qui ne dépend pas uniquement des agents endpoints, sont de plus en plus nécessaires pour détecter une intrusion lorsque le signal EDR devient silencieux.

Pour les utilisateurs et consommateurs quotidiens, la conclusion concerne moins l'action directe que la sensibilisation. Des groupes de ransomware comme The Gentlemen ciblent en fin de compte les organisations qui détiennent vos données, des employeurs aux prestataires de soins de santé en passant par les entreprises de services. Lorsque ces organisations perdent la visibilité sur une attaque, les notifications de violation qui en résultent peuvent être retardées ou incomplètes, c'est pourquoi rester attentif aux divulgations de violations et agir rapidement sur les changements de mots de passe ou les offres de surveillance du crédit est plus important que jamais.

Rester en avance sur les ransomware contournant l'EDR

Se défendre contre The Gentlemen et des groupes similaires exige de traiter l'EDR comme une couche parmi plusieurs plutôt que comme un point de défaillance unique. Les équipes de sécurité doivent surveiller les tentatives non autorisées de désinstallation ou de désactivation des agents de sécurité, car ce comportement est en soi un signal d'alerte précoce puissant d'une intrusion active. Maintenir les systèmes à jour est également crucial, car les attaquants s'appuient fréquemment sur des vulnérabilités connues pour obtenir le premier accès nécessaire afin d'atteindre et de désactiver les outils de sécurité, une dynamique également observée dans les récentes directives de correctifs comme l'avis sur le zero-day Windows pour CVE-2026-68820.

En fin de compte, l'essor des tactiques d'évasion EDR du ransomware The Gentlemen souligne un changement dans la manière dont les groupes de ransomware opèrent : la lutte commence désormais avant le chiffrement, au moment où les attaquants tentent d'aveugler vos défenses. Les organisations qui intègrent de la redondance dans leur surveillance, segmentent les réseaux pour limiter les mouvements latéraux et forment leur personnel à reconnaître les signes précoces de falsification des logiciels de sécurité seront bien mieux positionnées que celles qui s'appuient sur l'EDR comme unique filet de sécurité.

Points d'action clés :

  • Vérifiez si votre logiciel EDR ou antivirus dispose de la protection anti-falsification activée et s'il ne peut pas être désactivé sans authentification supplémentaire.
  • Configurez des alertes spécifiques pour les désinstallations, désactivations ou arrêts de service des agents EDR, car ce comportement est un signal d'alarme en soi.
  • Superposez une surveillance basée sur le réseau en plus des outils endpoints afin que la visibilité ne disparaisse pas si un agent devient silencieux.
  • Corrigez rapidement les vulnérabilités connues, car les systèmes non corrigés restent le point d'entrée le plus facile pour les affiliés RaaS.
  • Si vous êtes consommateur, surveillez les notifications de violation provenant des organisations avec lesquelles vous interagissez et agissez rapidement sur toute recommandation de changement de mot de passe ou de sécurisation de compte.