Een ransomware-operatie bekend als The Gentlemen, door Microsoft gevolgd onder de naam Storm-2697, trekt opnieuw de aandacht van beveiligingsonderzoekers vanwege een specifiek en verontrustend vermogen: de mogelijkheid om endpoint detection and response (EDR)-tools uit te schakelen voordat een aanval wordt gelanceerd. Een nieuw advies ontleedt hoe deze groep de verdedigingslinies verblindt waarop organisaties vertrouwen om inbraken op te sporen, en wat verdedigers kunnen doen om het gat te dichten.

The Gentlemen opereert als een ransomware-as-a-service (RaaS)-platform, wat betekent dat de kerngroep de malware bouwt en onderhoudt, terwijl een netwerk van affiliates de daadwerkelijke inbraken en onderhandelingen uitvoert. Dit model is de dominante structuur geworden achter grootschalige ransomware-campagnes, omdat het de operators in staat stelt snel op te schalen en hun tools te verspreiden naar meer aanvallers zonder zelf het handmatige inbraakwerk te doen. Onderzoekers beschrijven The Gentlemen als financieel gemotiveerd, met een Russischsprekende oorsprong en snelle groei in een relatief kort tijdsbestek, een patroon dat lijkt op andere RaaS-groepen die agressief zijn gegroeid zodra hun affiliate-model volwassen werd.

Hoe The Gentlemen-ransomware EDR-verdedigingen verblindt

EDR-software is ontworpen als de laatste verdedigingslinie op een gecompromitteerd apparaat: het let op verdacht procesgedrag, markeert ongebruikelijke bestandsactiviteit en kan een machine isoleren voordat ransomware klaar is met het versleutelen van bestanden. De aanpak van The Gentlemen richt zich specifiek op deze laag. In plaats van te proberen EDR-tools heimelijk te omzeilen, is de toolkit van de groep gebouwd om ze regelrecht uit te schakelen, te verwijderen of anderszins te neutraliseren, waardoor het alarmsysteem effectief wordt verwijderd voordat de inbraak zelfs maar wordt opgemerkt.

Dit soort EDR-killer-capaciteit is een terugkerend kenmerk geworden in moderne ransomware-toolkits, en het verandert de afweging voor verdedigers. Een netwerk dat ervan uitgaat dat zijn EDR-agent altijd terugrapporteert, is kwetsbaar als de eerste zet van een aanvaller is om die agent het zwijgen op te leggen. Zodra de beveiligingstools uitvallen, kunnen de ransomware-operators zich lateraal verplaatsen, inloggegevens verzamelen en gegevens klaarzetten voor exfiltratie met veel minder risico op vroege detectie. Dit weerspiegelt een bredere trend die bij ransomware-families te zien is: dreigingsactoren geven er steeds vaker prioriteit aan om beveiligingstools als eerste stap uit te schakelen, niet als bijzaak, omdat het hen de tijd geeft die nodig is om een volledige netwerkversleuteling en afpersingscampagne te voltooien.

Waarom dit verder reikt dan het losgeldbriefje

De privacy-implicaties van het verblinden van EDR gaan verder dan de onmiddellijke verstoring van een ransomware-aanval. De meeste moderne ransomware-operaties, inclusief double-extortion-groepen, stelen gegevens voordat ze deze versleutelen. Als EDR-tools vroeg in de inbraak worden uitgeschakeld, verliezen organisaties het zicht op precies wat er is benaderd, gekopieerd of geëxfiltreerd tijdens het venster waarin de aanvallers het netwerk controleerden. Die onzekerheid bemoeilijkt datalekmeldingen, wettelijke rapportage en elke inspanning om getroffen klanten of patiënten te vertellen welke gegevens mogelijk zijn blootgesteld.

Dit is een bekend patroon in het ransomware-landschap. Adviezen over andere actieve groepen, zoals de gezamenlijke waarschuwingen rond Gunra-ransomware die zorgorganisaties treft, hebben herhaaldelijk benadrukt hoe aanvallers blinde vlekken in monitoring uitbuiten om de schade te maximaliseren voordat iemand iets merkt. Met name de zorgsector is een terugkerend doelwit geweest, zoals uiteengezet in adviezen over Gunra's groeiende dreiging voor ziekenhuizen, omdat gevoelige patiëntgegevens in combinatie met operationele urgentie organisaties eerder geneigd maakt snel te betalen. De EDR-verblindingsaanpak van The Gentlemen past in hetzelfde draaiboek: schakel de wakers uit en neem dan je tijd.

Wat dit voor u betekent

Als u IT- of beveiligingsactiviteiten voor een bedrijf beheert, is dit advies een herinnering dat EDR-software alleen geen garantie op bescherming is. Aanvallers bouwen actief tools die erop gericht zijn deze te verslaan, en één uitgeschakelde agent op één machine kan het verschil betekenen tussen een beheerst incident en een netwerkbrede inbreuk. Gelaagde verdedigingen, inclusief monitoring op netwerkniveau die niet uitsluitend afhankelijk is van endpoint-agents die terugrapporteren, zijn steeds noodzakelijker om een inbraak op te vangen wanneer het EDR-signaal wegvalt.

Voor alledaagse gebruikers en consumenten gaat de les minder over directe actie en meer over bewustzijn. Ransomware-groepen zoals The Gentlemen richten zich uiteindelijk op organisaties die uw gegevens bewaren, van werkgevers tot zorgverleners tot dienstverleners. Wanneer die organisaties het zicht op een aanval verliezen, kunnen de resulterende datalekmeldingen vertraagd of onvolledig zijn, en daarom is alert blijven op datalekmeldingen en snel handelen bij aanbevolen wachtwoordwijzigingen of aanbiedingen voor kredietmonitoring belangrijker dan ooit.

EDR-ontwijkende ransomware voorblijven

Verdediging tegen The Gentlemen en vergelijkbare groepen vereist dat EDR wordt behandeld als één laag onder meerdere in plaats van als een enkel storingspunt. Beveiligingsteams moeten letten op ongeoorloofde pogingen om beveiligingsagents te verwijderen of uit te schakelen, aangezien dat gedrag op zichzelf een sterk vroeg waarschuwingssignaal is van een actieve inbraak. Systemen gepatcht houden is ook belangrijk, aangezien aanvallers vaak vertrouwen op bekende kwetsbaarheden om het eerste houvast te krijgen dat nodig is om beveiligingstools te bereiken en uit te schakelen, een dynamiek die ook te zien is in recente patch-richtlijnen zoals het Windows zero-day-advies voor CVE-2026-68820.

Uiteindelijk onderstreept de opkomst van de EDR-ontwijkingstactieken van The Gentlemen-ransomware een verschuiving in hoe ransomware-groepen opereren: de strijd begint nu vóór versleuteling, op het moment dat aanvallers proberen uw verdedigingen te verblinden. Organisaties die redundantie inbouwen in hun monitoring, netwerken segmenteren om laterale beweging te beperken en medewerkers trainen om de vroege tekenen van sabotage van beveiligingssoftware te herkennen, zullen veel beter gepositioneerd zijn dan degenen die vertrouwen op EDR als enkel vangnet.

Praktische aandachtspunten:

  • Controleer of uw EDR- of antivirussoftware tamper protection heeft ingeschakeld en niet kan worden uitgeschakeld zonder aanvullende authenticatie.
  • Stel specifiek waarschuwingen in voor het verwijderen, uitschakelen of stoppen van EDR-agenten, aangezien dit gedrag op zichzelf een rode vlag is.
  • Combineer netwerkgebaseerde monitoring met endpoint-tools, zodat het zicht niet verdwijnt als één agent uitvalt.
  • Patch bekende kwetsbaarheden tijdig, aangezien ongepatchte systemen het gemakkelijkste toegangspunt blijven voor RaaS-affiliates.
  • Als u consument bent, let dan op datalekmeldingen van organisaties waarmee u te maken hebt en handel snel bij aanbevolen wijzigingen in wachtwoord- of accountbeveiliging.