Come il ransomware Gentlemen disabilita gli strumenti di sicurezza

Un ceppo di ransomware recentemente documentato chiamato Gentlemen sta portando l'elusione degli endpoint a un nuovo livello. Secondo quanto riportato sulla minaccia, il malware distribuisce un driver kernel che termina sistematicamente quasi 180 processi di sicurezza prima ancora di iniziare a cifrare i file. Poiché il driver opera a livello kernel, il livello più profondo e privilegiato di un sistema operativo, può spegnere i motori antivirus, gli agenti di Endpoint Detection and Response (EDR) e altri strumenti di monitoraggio che normalmente segnalerebbero o bloccherebbero la routine di crittografia.

Questa sequenza è importante. I ransomware tradizionali spesso attivano gli allarmi di sicurezza nel momento in cui iniziano a toccare i file, offrendo ai difensori una finestra ristretta per isolare una macchina o terminare il processo. Disabilitando prima il software di sicurezza, Gentlemen elimina del tutto quel sistema di allarme precoce. La fase di crittografia che segue avviene in gran parte senza opposizione, poiché gli strumenti progettati per rilevarla sono già stati messi a tacere.

Perché l'eliminazione dei processi EDR e antivirus aumenta il rischio per le aziende

Per le organizzazioni che fanno molto affidamento sulla sicurezza degli endpoint come linea di difesa primaria, questo approccio è particolarmente dannoso. Le piattaforme EDR sono costruite sul presupposto che continueranno a funzionare e a riferire anche mentre sono sotto attacco. Quando un driver a livello kernel può eliminare quella visibilità in un colpo solo, l'intero modello di rilevamento viene minato nel momento in cui è più necessario.

Non si tratta di una tecnica isolata. Si inserisce in un modello più ampio documentato nel panorama dei ransomware, in cui i gruppi danno sempre più priorità alla disabilitazione degli strumenti difensivi come primo passo, anziché come ripensamento. Il rapporto Halcyon Q2 2026 sui gruppi ransomware che disabilitano l'EDR ha rilevato che, anche se il volume complessivo degli attacchi ransomware è diminuito, la sofisticatezza delle tecniche utilizzate per accecare il software di sicurezza è in realtà aumentata. Il metodo del driver kernel di Gentlemen sembra far parte di questa stessa tendenza: meno attacchi in generale, ma ciascuno progettato per colpire più duramente una volta ottenuto un punto d'appoggio.

Per le aziende, il messaggio è che la sicurezza degli endpoint non può essere l'unica linea di difesa. Se una singola tecnica può neutralizzare decine di processi di sicurezza in una volta sola, allora il resto dello stack di sicurezza – segmentazione della rete, controlli degli accessi e monitoraggio al di fuori dell'endpoint stesso – deve essere abbastanza robusto da catturare ciò che l'endpoint non vede.

Dove si inseriscono le VPN e le difese a livello di rete nella prevenzione del ransomware

È qui che gli strumenti a livello di rete, comprese le VPN, giocano un ruolo di supporto in una strategia di difesa a strati. Una VPN non impedirà al ransomware di cifrare i file una volta che è già in esecuzione su un dispositivo, e non dovrebbe mai essere commercializzata come una soluzione autonoma per una minaccia come Gentlemen. Ma le VPN e altri controlli di accesso alla rete servono a uno scopo reale nel limitare il modo in cui gli attaccanti si muovono lateralmente attraverso una rete e come stabiliscono l'accesso iniziale che porta poi all'implementazione di un ransomware.

Molte intrusioni ransomware iniziano con credenziali compromesse o punti di accesso remoto esposti, non con il malware stesso. Limitare e crittografare le connessioni remote, segmentare il traffico di rete e richiedere un accesso autenticato prima che un dispositivo possa raggiungere sistemi sensibili riducono tutti il numero di percorsi che un attaccante ha a disposizione per raggiungere una macchina su cui poter eventualmente eseguire qualcosa come un driver kernel dannoso. In altre parole, le VPN contano di più prima che un attacco inizi, non dopo che il software di sicurezza è già stato disabilitato.

Consigli per i consumatori: backup, sicurezza a strati e rilevamento precoce

Sebbene Gentlemen venga discusso principalmente nel contesto degli attacchi alle aziende, la lezione di fondo si applica anche agli utenti individuali e alle piccole imprese. Nessuno strumento di sicurezza singolo, che si tratti di un software antivirus, di un agente EDR o di una VPN, può essere considerato una soluzione completa da solo.

Cosa significa per te

Se gestisci la sicurezza IT per un'azienda, o semplicemente vuoi proteggere i tuoi dispositivi in modo più efficace, alcuni passi pratici riducono la tua esposizione ad attacchi come questo:

  • Mantieni backup offline o immutabili. Se la crittografia avviene, un backup pulito che il ransomware non può raggiungere è ancora il modo più rapido per recuperare senza pagare nessuno.
  • Stratifica le tue difese. Combina la protezione degli endpoint con controlli a livello di rete come VPN, firewall e segmentazione degli accessi, in modo che nessun singolo strumento disabilitato ti lasci completamente esposto.
  • Monitora i segnali di allarme precoce. Installazioni di driver insolite, terminazioni di processi inaspettate o software di sicurezza che tace all'improvviso sono tutti segnali che vale la pena indagare immediatamente anziché ignorare.
  • Applica patch e limita i privilegi di installazione dei driver. I driver kernel richiedono permessi elevati per essere caricati, quindi limitare chi e cosa può installare driver su un sistema chiude uno dei punti d'ingresso chiave di Gentlemen.

La tecnica del driver kernel del ransomware Gentlemen ricorda chiaramente che gli attaccanti stanno attivamente progettando modi per aggirare gli strumenti su cui i difensori fanno più affidamento. Rimanere protetti significa pensare oltre ogni singolo prodotto e costruire strati di difesa sovrapposti, in modo che quando una salvaguardia fallisce, un'altra sia ancora in piedi tra i tuoi dati e un attaccante.