Bagaimana Ransomware Gentlemen Menonaktifkan Alat Keamanan

Sebuah strain ransomware yang baru didokumentasikan bernama Gentlemen meningkatkan penghindaran endpoint ke level baru. Menurut laporan tentang ancaman ini, malware tersebut menyebarkan driver kernel yang secara sistematis menghentikan hampir 180 proses keamanan sebelum memulai enkripsi file. Karena driver beroperasi pada level kernel, lapisan terdalam dan paling istimewa dari sistem operasi, ia dapat mematikan mesin antivirus, agen endpoint detection and response (EDR), dan alat pemantauan lain yang biasanya akan menandai atau memblokir rutinitas enkripsi.

Urutan ini penting. Ransomware tradisional sering memicu peringatan keamanan begitu mulai menyentuh file, memberi pembela celah sempit untuk mengisolasi mesin atau menghentikan proses. Dengan menonaktifkan perangkat lunak keamanan terlebih dahulu, Gentlemen sepenuhnya menghilangkan sistem peringatan dini itu. Fase enkripsi yang mengikuti sebagian besar berjalan tanpa perlawanan, karena alat yang dirancang untuk mendeteksinya sudah dibungkam.

Mengapa Mematikan Proses EDR dan Antivirus Meningkatkan Risiko Perusahaan

Bagi organisasi yang sangat mengandalkan keamanan endpoint sebagai garis pertahanan utama, pendekatan ini sangat merusak. Platform EDR dibangun dengan asumsi bahwa mereka akan tetap berjalan dan melaporkan bahkan saat sedang diserang. Ketika driver level kernel dapat menghilangkan visibilitas itu dalam satu gerakan, seluruh model deteksi menjadi lemah tepat saat paling dibutuhkan.

Ini bukan teknik yang terisolasi. Ini sesuai dengan pola yang lebih luas yang didokumentasikan di lanskap ransomware, di mana kelompok-kelompok semakin memprioritaskan penonaktifan alat pertahanan sebagai langkah pertama daripada sekadar renungan. Laporan Halcyon Q2 2026 tentang kelompok ransomware yang menonaktifkan EDR menemukan bahwa meskipun volume serangan ransomware secara keseluruhan menurun, kecanggihan teknik yang digunakan untuk membutakan perangkat lunak keamanan justru meningkat. Metode driver kernel Gentlemen tampaknya menjadi bagian dari tren yang sama: serangan yang lebih sedikit secara keseluruhan, tetapi masing-masing dirancang untuk menghantam lebih keras setelah mendapatkan pijakan.

Bagi perusahaan, pelajaran yang dapat diambil adalah bahwa keamanan endpoint tidak bisa menjadi satu-satunya garis pertahanan. Jika satu teknik dapat menetralkan puluhan proses keamanan sekaligus, maka bagian lain dari tumpukan keamanan, segmentasi jaringan, kontrol akses, dan pemantauan di luar endpoint itu sendiri, harus cukup kuat untuk menangkap apa yang terlewatkan oleh endpoint.

Di Mana VPN dan Pertahanan Tingkat Jaringan Berperan dalam Pencegahan Ransomware

Di sinilah alat tingkat jaringan, termasuk VPN, memainkan peran pendukung dalam strategi pertahanan berlapis. VPN tidak akan menghentikan ransomware mengenkripsi file begitu sudah berjalan di perangkat, dan seharusnya tidak pernah dipasarkan sebagai solusi tunggal untuk ancaman seperti Gentlemen. Namun VPN dan kontrol akses jaringan lainnya memang memiliki tujuan nyata dalam membatasi bagaimana penyerang bergerak secara lateral di seluruh jaringan dan bagaimana mereka membangun akses awal yang mengarah pada penyebaran ransomware sejak awal.

Banyak intrusi ransomware dimulai dengan kredensial yang disusupi atau titik akses jarak jauh yang terbuka, bukan dengan malware itu sendiri. Membatasi dan mengenkripsi koneksi jarak jauh, mensegmentasi lalu lintas jaringan, dan mewajibkan akses terautentikasi sebelum perangkat dapat mencapai sistem sensitif semuanya mengurangi jumlah jalur yang dimiliki penyerang untuk mencapai mesin di mana mereka akhirnya dapat menjalankan sesuatu seperti driver kernel berbahaya. Dengan kata lain, VPN paling berarti sebelum serangan dimulai, bukan setelah perangkat lunak keamanan sudah dinonaktifkan.

Pelajaran untuk Konsumen: Pencadangan, Keamanan Berlapis, dan Deteksi Dini

Sementara Gentlemen dibahas terutama dalam konteks serangan perusahaan, pelajaran mendasarnya berlaku juga untuk pengguna individu dan bisnis kecil. Tidak ada satu pun alat keamanan, baik itu perangkat lunak antivirus, agen EDR, atau VPN, yang dapat dianggap sebagai solusi lengkap dengan sendirinya.

Apa Artinya Bagi Anda

  • Pertahankan pencadangan offline atau yang tidak dapat diubah. Jika enkripsi terjadi, cadangan bersih yang tidak dapat dijangkau ransomware masih menjadi cara tercepat untuk pulih tanpa membayar siapa pun.
  • Lapisi pertahanan Anda. Gabungkan perlindungan endpoint dengan kontrol tingkat jaringan seperti VPN, firewall, dan segmentasi akses sehingga tidak ada satu alat pun yang dinonaktifkan membuat Anda sepenuhnya terbuka.
  • Pantau tanda-tanda peringatan dini. Pemasangan driver yang tidak biasa, penghentian proses yang tak terduga, atau perangkat lunak keamanan yang tiba-tiba diam adalah sinyal yang layak diselidiki segera daripada diabaikan.
  • Tambal dan batasi hak istimewa pemasangan driver. Driver kernel memerlukan izin yang ditinggikan untuk dimuat, jadi membatasi siapa dan apa yang dapat menginstal driver pada sistem menutup salah satu titik masuk utama Gentlemen.

Teknik driver kernel ransomware Gentlemen adalah pengingat yang jelas bahwa penyerang secara aktif merekayasa cara untuk mengelabui alat yang paling diandalkan oleh pembela. Tetap terlindungi berarti berpikir melampaui satu produk tunggal dan membangun lapisan pertahanan yang tumpang tindih, sehingga ketika satu pengaman gagal, yang lain masih berdiri di antara data Anda dan penyerang.