The Gentlemen Ransomware: Bagaimana Ia Membutakan Alat EDR Anda

Operasi ransomware yang dikenal sebagai The Gentlemen, yang dilacak oleh Microsoft dengan nama Storm-2697, kembali menarik perhatian para peneliti keamanan karena kemampuan spesifik dan mengkhawatirkan: kemampuan untuk menonaktifkan alat endpoint detection and response (EDR) sebelum melancarkan serangan. Sebuah advisory baru menguraikan bagaimana kelompok ini membutakan pertahanan yang justru diandalkan organisasi untuk mendeteksi intrusi, dan apa yang dapat dilakukan para defender untuk menutup celah tersebut.

The Gentlemen beroperasi sebagai platform ransomware-as-a-service (RaaS), yang berarti kelompok inti membangun dan memelihara malware sementara jaringan afiliasi menjalankan pembobolan dan negosiasi yang sebenarnya. Model ini telah menjadi struktur dominan di balik kampanye ransomware berskala besar karena memungkinkan operator untuk berkembang pesat, menyebarkan alat mereka ke lebih banyak penyerang tanpa harus melakukan pekerjaan intrusi secara langsung. Para peneliti menggambarkan The Gentlemen sebagai bermotif finansial, dengan asal berbahasa Rusia dan pertumbuhan pesat dalam jangka waktu yang relatif singkat, sebuah pola yang mencerminkan kelompok RaaS lain yang telah berkembang agresif setelah model afiliasi mereka matang.

Bagaimana Ransomware The Gentlemen Membutakan Pertahanan EDR

Perangkat lunak EDR dirancang sebagai garis pertahanan terakhir pada perangkat yang telah dikompromikan: ia mengawasi perilaku proses yang mencurigakan, menandai aktivitas file yang tidak biasa, dan dapat mengisolasi mesin sebelum ransomware selesai mengenkripsi file. Pendekatan The Gentlemen secara khusus menyasar lapisan ini. Alih-alih mencoba menyelinap melewati alat EDR, toolkit kelompok ini dibangun untuk menonaktifkan, menghapus instalasi, atau menetralisirnya secara langsung, sehingga secara efektif menghilangkan sistem alarm bahkan sebelum pembobolan disadari.

Kemampuan jenis EDR-killer ini telah menjadi fitur yang berulang dalam toolkit ransomware modern, dan ini mengubah kalkulasi bagi para defender. Jaringan yang mengasumsikan agen EDR-nya akan selalu melapor kembali menjadi rentan jika langkah pertama penyerang adalah membungkam agen tersebut. Begitu perkakas keamanan padam, operator ransomware dapat bergerak lateral, memanen kredensial, dan menyiapkan data untuk eksfiltrasi dengan risiko deteksi dini yang jauh lebih kecil. Ini mencerminkan tren yang lebih luas yang terlihat di berbagai keluarga ransomware: aktor ancaman semakin memprioritaskan penonaktifan alat keamanan sebagai langkah pertama, bukan sebagai renungan belakangan, karena ini memberi mereka waktu yang dibutuhkan untuk menyelesaikan kampanye enkripsi dan pemerasan seluruh jaringan.

Mengapa Ini Penting di Luar Catatan Tebusan

Implikasi privasi dari pembutaan EDR melampaui gangguan langsung dari serangan ransomware. Sebagian besar operasi ransomware modern, termasuk kelompok double-extortion, mencuri data sebelum mengenkripsinya. Jika alat EDR dinonaktifkan sejak awal intrusi, organisasi kehilangan visibilitas terhadap apa yang tepatnya diakses, disalin, atau dieksfiltrasi selama jendela ketika penyerang mengendalikan jaringan. Ketidakpastian itu mempersulit notifikasi pelanggaran, pelaporan regulasi, dan segala upaya untuk memberi tahu pelanggan atau pasien yang terdampak tentang data apa yang mungkin telah terekspos.

Ini adalah pola yang sudah dikenal di lanskap ransomware. Advisory yang mencakup kelompok aktif lain, seperti peringatan bersama yang dikeluarkan seputar ransomware Gunra yang menargetkan organisasi layanan kesehatan, telah berulang kali menandai bagaimana penyerang mengeksploitasi titik buta dalam pemantauan untuk memaksimalkan kerusakan sebelum ada yang menyadarinya. Sektor layanan kesehatan khususnya telah menjadi target berulang, sebagaimana dirinci dalam advisory tentang ancaman Gunra yang terus tumbuh terhadap rumah sakit, karena data pasien yang sensitif dikombinasikan dengan urgensi operasional membuat organisasi lebih cenderung membayar dengan cepat. Pendekatan pembutaan EDR The Gentlemen cocok dengan playbook yang sama: nonaktifkan para pengawas, lalu luangkan waktu Anda.

Apa Artinya Bagi Anda

Jika Anda menjalankan operasi TI atau keamanan untuk sebuah bisnis, advisory ini adalah pengingat bahwa perangkat lunak EDR saja bukan jaminan perlindungan. Penyerang secara aktif membangun alat yang dirancang untuk mengalahkannya, dan satu agen yang dinonaktifkan pada satu mesin dapat menjadi pembeda antara insiden yang terisolasi dan pelanggaran seluruh jaringan. Pertahanan berlapis, termasuk pemantauan tingkat jaringan yang tidak bergantung semata-mata pada agen endpoint yang melapor, semakin diperlukan untuk menangkap intrusi ketika sinyal EDR padam.

Bagi pengguna dan konsumen sehari-hari, intinya bukan tentang tindakan langsung melainkan lebih tentang kesadaran. Kelompok ransomware seperti The Gentlemen pada akhirnya menargetkan organisasi yang menyimpan data Anda, dari pemberi kerja hingga penyedia layanan kesehatan hingga perusahaan jasa. Ketika organisasi tersebut kehilangan visibilitas terhadap serangan, notifikasi pelanggaran yang dihasilkan dapat tertunda atau tidak lengkap, itulah sebabnya tetap waspada terhadap pengungkapan pelanggaran dan bertindak cepat atas perubahan kata sandi atau tawaran pemantauan kredit menjadi lebih penting dari sebelumnya.

Tetap Selangkah di Depan Ransomware yang Menghindari EDR

Mempertahankan diri terhadap The Gentlemen dan kelompok serupa memerlukan memperlakukan EDR sebagai salah satu lapisan di antara beberapa lapisan, bukan sebagai titik kegagalan tunggal. Tim keamanan harus memantau upaya tidak sah untuk menghapus instalasi atau menonaktifkan agen keamanan, karena perilaku itu sendiri merupakan tanda peringatan dini yang kuat akan intrusi yang aktif. Menjaga sistem tetap ditambal juga penting, karena penyerang sering mengandalkan kerentanan yang diketahui untuk mendapatkan pijakan awal yang diperlukan guna mencapai dan menonaktifkan perkakas keamanan, sebuah dinamika yang juga terlihat dalam panduan tambalan terbaru seperti advisory zero-day Windows untuk CVE-2026-68820.

Pada akhirnya, munculnya taktik penghindaran EDR ransomware The Gentlemen menggarisbawahi pergeseran dalam cara kelompok ransomware beroperasi: pertarungan kini dimulai sebelum enkripsi, pada saat penyerang mencoba membutakan pertahanan Anda. Organisasi yang membangun redundansi dalam pemantauan mereka, menyegmentasi jaringan untuk membatasi pergerakan lateral, dan melatih staf untuk mengenali tanda-tanda awal manipulasi perangkat lunak keamanan akan jauh lebih siap dibandingkan mereka yang mengandalkan EDR sebagai satu-satunya jaring pengaman.

Poin tindakan yang dapat diambil:

• Audit apakah perangkat lunak EDR atau antivirus Anda memiliki perlindungan manipulasi (tamper protection) yang aktif dan tidak dapat dinonaktifkan tanpa autentikasi tambahan.
• Siapkan peringatan khusus untuk penghapusan instalasi, penonaktifan, atau penghentian layanan agen EDR, karena perilaku ini sendiri merupakan tanda bahaya.
• Lapisi pemantauan berbasis jaringan bersama alat endpoint agar visibilitas tidak hilang jika satu agen padam.
• Tambal kerentanan yang diketahui dengan segera, karena sistem yang tidak ditambal tetap menjadi titik masuk termudah bagi afiliasi RaaS.
• Jika Anda seorang konsumen, perhatikan notifikasi pelanggaran dari organisasi yang Anda berinteraksi dengannya dan bertindak cepat atas setiap perubahan keamanan kata sandi atau akun yang direkomendasikan.