Sebuah operasi ransomware bernama The Gentlemen, yang dilacak oleh Microsoft dengan nama Storm-2697, menarik perhatian baru dari para peneliti keamanan karena kemampuan spesifik dan mengkhawatirkan: kemampuan untuk...

Sebuah operasi ransomware bernama The Gentlemen, yang dilacak oleh Microsoft dengan nama Storm-2697, menarik perhatian baru dari para peneliti keamanan karena kemampuan spesifik dan mengkhawatirkan: kemampuan untuk menonaktifkan alat deteksi dan respons titik akhir (EDR) sebelum meluncurkan serangan. Sebuah advisory baru menguraikan bagaimana kelompok ini membutakan pertahanan yang diandalkan organisasi untuk mendeteksi intrusi, dan apa yang dapat dilakukan para pembela untuk menutup celah tersebut.

The Gentlemen beroperasi sebagai platform ransomware-as-a-service (RaaS), artinya kelompok inti membangun dan memelihara malware sementara jaringan afiliasi melakukan peretasan dan negosiasi yang sebenarnya. Model ini telah menjadi struktur dominan di balik kampanye ransomware skala besar karena memungkinkan operator berkembang pesat, menyebarkan alat mereka ke lebih banyak penyerang tanpa melakukan pekerjaan intrusi langsung sendiri. Para peneliti menggambarkan The Gentlemen sebagai kelompok yang termotivasi secara finansial, berasal dari penutur bahasa Rusia, dan berkembang pesat dalam waktu yang relatif singkat, sebuah pola yang meniru kelompok RaaS lain yang telah berekspansi secara agresif setelah model afiliasi mereka matang.

Bagaimana Ransomware The Gentlemen Membutakan Pertahanan EDR

Perangkat lunak EDR dirancang untuk menjadi garis pertahanan terakhir pada perangkat yang dikompromikan: ia memantau perilaku proses yang mencurigakan, menandai aktivitas file yang tidak biasa, dan dapat mengisolasi mesin sebelum ransomware selesai mengenkripsi file. Pendekatan The Gentlemen secara spesifik menargetkan lapisan ini. Alih-alih mencoba menyelinap melewati alat EDR, toolkit kelompok ini dibangun untuk menonaktifkan, menghapus instalasi, atau menetralisirnya secara langsung, secara efektif menghilangkan sistem alarm sebelum peretasan bahkan disadari.

Kemampuan pembunuh EDR semacam ini telah menjadi fitur yang berulang dalam toolkit ransomware modern, dan ini mengubah kalkulasi bagi para pembela. Jaringan yang mengasumsikan agen EDR-nya akan selalu melaporkan kembali akan rentan jika langkah pertama penyerang adalah membungkam agen tersebut. Setelah alat keamanan menjadi gelap, operator ransomware dapat bergerak secara lateral, mengumpulkan kredensial, dan menyiapkan data untuk eksfiltrasi dengan risiko deteksi dini yang jauh lebih kecil. Ini mencerminkan tren yang lebih luas yang terlihat di berbagai keluarga ransomware: aktor ancaman semakin memprioritaskan penonaktifan alat keamanan sebagai langkah pertama, bukan setelahnya, karena hal itu memberi mereka waktu yang dibutuhkan untuk menyelesaikan kampanye enkripsi dan pemerasan di seluruh jaringan.

Mengapa Ini Penting Di Luar Catatan Tebusan

Implikasi privasi dari pembutaan EDR melampaui gangguan langsung dari serangan ransomware. Sebagian besar operasi ransomware modern, termasuk kelompok pemerasan ganda, mencuri data sebelum mengenkripsinya. Jika alat EDR dinonaktifkan di awal intrusi, organisasi kehilangan visibilitas ke dalam apa yang sebenarnya diakses, disalin, atau dieksfiltrasi selama periode penyerang mengendalikan jaringan. Ketidakpastian itu memperumit pemberitahuan pelanggaran, pelaporan regulasi, dan upaya apa pun untuk memberi tahu pelanggan atau pasien yang terkena dampak tentang data apa yang mungkin telah terekspos.

Ini adalah pola yang familiar di lanskap ransomware. Advisory yang mencakup kelompok aktif lainnya, seperti peringatan bersama yang dikeluarkan seputar ransomware Gunra yang menargetkan organisasi layanan kesehatan, telah berulang kali menandai bagaimana penyerang mengeksploitasi titik buta dalam pemantauan untuk memaksimalkan kerusakan sebelum ada yang menyadarinya. Sektor layanan kesehatan khususnya telah menjadi target yang berulang, seperti yang dirinci dalam advisory tentang ancaman Gunra yang berkembang bagi rumah sakit, karena data pasien yang sensitif dikombinasikan dengan urgensi operasional membuat organisasi lebih mungkin membayar dengan cepat. Pendekatan pembutaan EDR dari The Gentlemen cocok dengan playbook yang sama: nonaktifkan pengawas, lalu ambil waktu Anda.

Apa Artinya Ini Bagi Anda

Jika Anda menjalankan operasi TI atau keamanan untuk sebuah bisnis, advisory ini adalah pengingat bahwa perangkat lunak EDR saja bukanlah jaminan perlindungan. Penyerang secara aktif membangun alat yang dirancang untuk mengalahkannya, dan satu agen yang dinonaktifkan pada satu mesin dapat menjadi pembeda antara insiden yang terkendali dan pelanggaran di seluruh jaringan. Pertahanan berlapis, termasuk pemantauan tingkat jaringan yang tidak hanya bergantung pada agen titik akhir yang melapor, semakin diperlukan untuk menangkap intrusi ketika sinyal EDR menjadi senyap.

Bagi pengguna sehari-hari dan konsumen, kesimpulannya kurang tentang tindakan langsung dan lebih tentang kesadaran. Kelompok ransomware seperti The Gentlemen pada akhirnya menargetkan organisasi yang menyimpan data Anda, dari pemberi kerja hingga penyedia layanan kesehatan hingga perusahaan jasa. Ketika organisasi tersebut kehilangan visibilitas ke dalam sebuah serangan, pemberitahuan pelanggaran yang dihasilkan dapat tertunda atau tidak lengkap, itulah sebabnya tetap waspada terhadap pengungkapan pelanggaran dan bertindak cepat pada perubahan kata sandi atau tawaran pemantauan kredit menjadi lebih penting dari sebelumnya.

Tetap Selangkah Di Depan Ransomware yang Menghindari EDR

Bertahan melawan The Gentlemen dan kelompok serupa membutuhkan perlakuan EDR sebagai salah satu lapisan di antara beberapa lainnya, bukan sebagai satu titik kegagalan. Tim keamanan harus memantau upaya tidak sah untuk menghapus instalasi atau menonaktifkan agen keamanan, karena perilaku itu sendiri merupakan tanda peringatan dini yang kuat dari intrusi aktif. Menjaga sistem tetap di-patch juga penting, karena penyerang sering mengandalkan kerentanan yang diketahui untuk mendapatkan pijakan awal yang diperlukan untuk mencapai dan menonaktifkan alat keamanan, sebuah dinamika yang juga terlihat dalam panduan patch terbaru seperti advisory zero-day Windows untuk CVE-2026-68820.

Pada akhirnya, munculnya taktik penghindaran EDR ransomware The Gentlemen menegaskan pergeseran dalam cara kelompok ransomware beroperasi: pertarungan sekarang dimulai sebelum enkripsi, pada saat penyerang mencoba membutakan pertahanan Anda. Organisasi yang membangun redundansi ke dalam pemantauan mereka, mempartisi jaringan untuk membatasi pergerakan lateral, dan melatih staf untuk mengenali tanda-tanda awal perusakan perangkat lunak keamanan akan berada dalam posisi yang jauh lebih baik daripada mereka yang mengandalkan EDR sebagai satu jaring pengaman.

Langkah-langkah yang dapat ditindaklanjuti:

• Audit apakah perangkat lunak EDR atau antivirus Anda memiliki perlindungan tamper yang diaktifkan dan tidak dapat dinonaktifkan tanpa autentikasi tambahan.
• Siapkan peringatan khusus untuk penghapusan instalasi agen EDR, penonaktifan, atau penghentian layanan, karena perilaku ini adalah bendera merah dengan sendirinya.
• Lapisi pemantauan berbasis jaringan di samping alat titik akhir sehingga visibilitas tidak hilang jika satu agen menjadi gelap.
• Patch kerentanan yang diketahui dengan segera, karena sistem yang tidak di-patch tetap menjadi titik masuk termudah bagi afiliasi RaaS.
• Jika Anda seorang konsumen, perhatikan pemberitahuan pelanggaran dari organisasi yang berinteraksi dengan Anda dan bertindak cepat pada setiap perubahan kata sandi atau keamanan akun yang direkomendasikan.

FAQ (terjemahkan setiap pertanyaan dan jawaban): Q1: Apa itu ransomware The Gentlemen? A1: The Gentlemen adalah operasi ransomware-as-a-service yang dilacak oleh Microsoft sebagai Storm-2697, digambarkan sebagai kelompok yang termotivasi secara finansial, berbahasa Rusia, dan berkembang pesat. Q2: Bagaimana The Gentlemen menonaktifkan alat EDR? A2: Alih-alih mencoba menyelinap melewati alat deteksi dan respons titik akhir, toolkit-nya dibangun untuk menonaktifkan, menghapus instalasi, atau menetralisirnya sebelum meluncurkan serangan. Q3: Mengapa menonaktifkan alat EDR menjadi perhatian utama? A3: Setelah EDR dibungkam, penyerang dapat bergerak secara lateral, mengumpulkan kredensial, dan menyiapkan data untuk eksfiltrasi dengan risiko deteksi dini yang jauh lebih kecil. Q4: Apa itu ransomware-as-a-service (RaaS)? A4: Ini adalah model di mana kelompok inti membangun dan memelihara malware sementara afiliasi melakukan peretasan dan negosiasi yang sebenarnya. Q5: Bagaimana pembutaan EDR mempengaruhi pemberitahuan pelanggaran? A5: Karena EDR dapat dinonaktifkan di awal, organisasi kehilangan visibilitas ke dalam apa yang diakses atau dieksfiltrasi, yang memperumit pemberitahuan pelanggaran dan pelaporan regulasi. ---END---