The Gentlemen ransomware: Kako zasljepljuje vaše EDR alate

Ransomware operacija poznata kao The Gentlemen, koju Microsoft prati pod imenom Storm-2697, privlači novo zanimanje sigurnosnih istraživača zbog specifične i zabrinjavajuće sposobnosti: mogućnosti onemogućavanja alata za detekciju i odgovor na krajnjim točkama (EDR) prije pokretanja napada. Novo savjetodavno upozorenje razlaže kako ova skupina zasljepljuje upravo one obrane na koje se organizacije oslanjaju kako bi uočile upade, te što branitelji mogu učiniti da zatvore tu prazninu.

The Gentlemen djeluje kao platforma ransomware-as-a-service (RaaS), što znači da jezgru grupa gradi i održava zlonamjerni softver dok mreža pridruženih napadača provodi stvarne provale i pregovore. Ovaj model postao je dominantna struktura iza kampanja ransomwarea velikih razmjera jer operaterima omogućuje brzo širenje, distribuirajući svoje alate većem broju napadača bez obavljanja samog upada. Istraživači opisuju The Gentlemen kao financijski motiviranu skupinu ruskog govornog područja s brzim rastom u relativno kratkom razdoblju, obrazac koji odražava druge RaaS grupe koje su agresivno ekspandirale nakon što je njihov model pridruženih napadača sazrio.

Kako The Gentlemen ransomware zasljepljuje EDR obrane

EDR softver osmišljen je kao posljednja linija obrane na kompromitiranom uređaju: promatra sumnjivo ponašanje procesa, označava neobičnu aktivnost datoteka i može izolirati stroj prije nego ransomware završi s enkripcijom datoteka. Pristup grupe The Gentlemen posebno cilja ovaj sloj. Umjesto da pokušava prikrasti se pokraj EDR alata, alatni komplet grupe izgrađen je da ih izravno onemogući, deinstalira ili na drugi način neutralizira, učinkovito uklanjajući alarmni sustav prije nego što se provala uopće primijeti.

Ova vrsta sposobnosti "EDR ubojice" postala je ponavljajuća značajka u modernim alatnim kompletima ransomwarea i mijenja računicu za branitelje. Mreža koja pretpostavlja da će njezin EDR agent uvijek izvijestiti ranjiva je ako je prvi potez napadača ušutkati tog agenta. Jednom kada sigurnosni alati utihnu, operateri ransomwarea mogu se kretati lateralno, prikupljati vjerodajnice i pripremati podatke za eksfiltraciju s mnogo manjim rizikom od ranog otkrivanja. To odražava širi trend koji se vidi kroz obitelji ransomwarea: akteri prijetnji sve više prioritiziraju onemogućavanje sigurnosnih alata kao prvi korak, a ne naknadnu misao, jer im to kupuje vrijeme potrebno za dovršetak kampanje enkripcije i iznude na cijeloj mreži.

Zašto je to važno izvan poruke o otkupnini

Implikacije za privatnost zasljepljivanja EDR-a nadilaze neposredni prekid ransomware napada. Većina modernih ransomware operacija, uključujući grupe s dvostrukom iznudom, krade podatke prije enkripcije. Ako se EDR alati onemoguće rano u upadu, organizacije gube vidljivost u to što je točno pristupljeno, kopirano ili eksfiltrirano tijekom razdoblja u kojem su napadači kontrolirali mrežu. Ta nesigurnost komplicira obavještavanje o povredi, regulatorno izvješćivanje i svaki napor da se pogođenim kupcima ili pacijentima kaže koji su podaci mogli biti izloženi.

To je poznat obrazac u cijelom ransomware krajoliku. Savjetodavna upozorenja koja pokrivaju druge aktivne grupe, poput zajedničkih upozorenja izdanih oko Gunra ransomwarea koji cilja zdravstvene organizacije, više su puta istaknula kako napadači iskorištavaju slijepe točke u nadzoru kako bi maksimizirali štetu prije nego što itko primijeti. Zdravstveni sektor posebno je bio ponavljajuća meta, kako je detaljno opisano u upozorenjima o Gunrinoj rastućoj prijetnji bolnicama, jer osjetljivi podaci pacijenata u kombinaciji s operativnom hitnošću čine organizacije sklonijima brzom plaćanju. Pristup zasljepljivanja EDR-a grupe The Gentlemen uklapa se u istu taktiku: onemogući promatrače, a zatim uzmi si vremena.

Što to znači za vas

Ako vodite IT ili sigurnosne operacije za tvrtku, ovo upozorenje podsjetnik je da EDR softver sam po sebi nije jamstvo zaštite. Napadači aktivno grade alate osmišljene da ga poraze, a jedan onemogućen agent na jednom stroju može biti razlika između obuzdanog incidenta i povrede na razini cijele mreže. Višeslojne obrane, uključujući nadzor na razini mreže koji ne ovisi isključivo o izvješćivanju agenta na krajnjoj točki, sve su nužnije za hvatanje upada kada EDR signal utihne.

Za svakodnevne korisnike i potrošače, poanta je manje o izravnom djelovanju, a više o svjesnosti. Ransomware grupe poput The Gentlemen u konačnici ciljaju organizacije koje drže vaše podatke, od poslodavaca do zdravstvenih pružatelja do uslužnih tvrtki. Kada te organizacije izgube vidljivost u napad, rezultirajuće obavijesti o povredi mogu biti odgođene ili nepotpune, zbog čega je pozornost na objave o povredama i brzo djelovanje na promjene lozinki ili ponude za praćenje kredita važnije nego ikad.

Korak ispred ransomwarea koji izbjegava EDR

Obrana od The Gentlemen i sličnih grupa zahtijeva tretiranje EDR-a kao jednog sloja među nekoliko, a ne kao jedne točke kvara. Sigurnosni timovi trebali bi nadzirati neovlaštene pokušaje deinstalacije ili onemogućavanja sigurnosnih agenata, jer je to ponašanje samo po sebi snažan rani znak upozorenja na aktivni upad. Održavanje sustava zakrpanima također je važno, jer se napadači često oslanjaju na poznate ranjivosti kako bi stekli početno uporište potrebno za dosezanje i onemogućavanje sigurnosnih alata, dinamika također vidljiva u nedavnim smjernicama za zakrpe poput Windows zero-day savjetodavnog upozorenja za CVE-2026-68820.

U konačnici, uspon taktika izbjegavanja EDR-a ransomwarea The Gentlemen naglašava pomak u načinu na koji ransomware grupe djeluju: borba sada počinje prije enkripcije, u trenutku kada napadači pokušavaju zaslijepiti vaše obrane. Organizacije koje ugrade redundanciju u svoj nadzor, segmentiraju mreže kako bi ograničile lateralno kretanje i obuče osoblje da prepozna rane znakove neovlaštenog mijenjanja sigurnosnog softvera bit će daleko bolje pozicionirane od onih koje se oslanjaju na EDR kao jedinu sigurnosnu mrežu.

Ključni zaključci za djelovanje:

• Provjerite je li na vašem EDR ili antivirusnom softveru omogućena zaštita od neovlaštenog mijenjanja i može li se onemogućiti bez dodatne autentifikacije.
• Postavite upozorenja posebno za deinstalacije, onemogućavanja ili zaustavljanja usluga EDR agenta, jer je to ponašanje samo po sebi crvena zastavica.
• Dodajte mrežni nadzor uz alate na krajnjim točkama kako vidljivost ne bi nestala ako jedan agent utihne.
• Pravovremeno zakrpajte poznate ranjivosti, jer nezakrpani sustavi ostaju najlakša ulazna točka za RaaS pridružene napadače.
• Ako ste potrošač, pazite na obavijesti o povredama od organizacija s kojima komunicirate i brzo postupajte prema svim preporučenim promjenama lozinki ili sigurnosti računa.