Operacja ransomware znana jako The Gentlemen, śledzona przez Microsoft pod nazwą Storm-2697, przyciąga coraz większą uwagę badaczy bezpieczeństwa ze względu na konkretną i niepokojącą zdolność: możliwość wyłączania narzędzi endpoint detection and response (EDR) przed rozpoczęciem ataku. Nowy biuletyn szczegółowo opisuje, w jaki sposób ta grupa oślepia właśnie te zabezpieczenia, na których organizacje polegają, aby wykrywać wtargnięcia, oraz co obrońcy mogą zrobić, aby zamknąć tę lukę.

The Gentlemen działa jako platforma ransomware-as-a-service (RaaS), co oznacza, że grupa rdzeniowa tworzy i utrzymuje złośliwe oprogramowanie, podczas gdy sieć afiliantów przeprowadza faktyczne włamania i negocjacje. Ten model stał się dominującą strukturą stojącą za zakrojonymi na szeroką skalę kampaniami ransomware, ponieważ pozwala operatorom szybko skalować działalność, rozpowszechniając swoje narzędzia wśród większej liczby atakujących bez samodzielnego przeprowadzania ręcznych włamań. Badacze opisują The Gentlemen jako grupę motywowaną finansowo, o rosyjskojęzycznym pochodzeniu i szybkim wzroście w stosunkowo krótkim okresie — wzorzec odzwierciedlający inne grupy RaaS, które agresywnie się rozrosły, gdy ich model afiliacyjny dojrzał.

Jak ransomware The Gentlemen oślepia zabezpieczenia EDR

Oprogramowanie EDR zostało zaprojektowane jako ostatnia linia obrony na zainfekowanym urządzeniu: obserwuje podejrzane zachowania procesów, sygnalizuje nietypową aktywność plików i może odizolować maszynę, zanim ransomware zakończy szyfrowanie plików. Podejście The Gentlemen celuje konkretnie w tę warstwę. Zamiast próbować przemykać obok narzędzi EDR, zestaw narzędzi tej grupy został zbudowany tak, aby je wyłączać, odinstalowywać lub w inny sposób całkowicie neutralizować, skutecznie usuwając system alarmowy, zanim włamanie w ogóle zostanie zauważone.

Ten rodzaj zdolności zabijania EDR stał się powracającym elementem nowoczesnych zestawów narzędzi ransomware i zmienia kalkulację dla obrońców. Sieć, która zakłada, że jej agent EDR zawsze będzie raportować, jest narażona, jeśli pierwszym ruchem atakującego jest uciszenie tego agenta. Gdy narzędzia bezpieczeństwa zamilkną, operatorzy ransomware mogą przemieszczać się lateralnie, pozyskiwać poświadczenia i przygotowywać dane do eksfiltracji przy znacznie mniejszym ryzyku wczesnego wykrycia. Odzwierciedla to szerszy trend obserwowany w rodzinach ransomware: aktorzy zagrożeń coraz częściej traktują wyłączanie narzędzi bezpieczeństwa jako pierwszy krok, a nie myśl po fakcie, ponieważ kupuje im to czas potrzebny do przeprowadzenia kampanii szyfrowania i wymuszenia w całej sieci.

Dlaczego ma to znaczenie poza samym okupem

Implikacje prywatnościowe oślepiania EDR wykraczają poza natychmiastowe zakłócenia ataku ransomware. Większość nowoczesnych operacji ransomware, w tym grup stosujących podwójne wymuszenie, kradnie dane przed ich zaszyfrowaniem. Jeśli narzędzia EDR zostaną wyłączone na wczesnym etapie wtargnięcia, organizacje tracą wgląd w to, do czego dokładnie uzyskano dostęp, co skopiowano lub wyeksfiltrowano w oknie, w którym atakujący kontrolowali sieć. Ta niepewność komplikuje powiadamianie o naruszeniu, raportowanie regulacyjne oraz wszelkie wysiłki mające na celu poinformowanie dotkniętych klientów lub pacjentów, jakie dane mogły zostać ujawnione.

To znajomy wzorzec w krajobrazie ransomware. Biuletyny dotyczące innych aktywnych grup, takie jak wspólne ostrzeżenia wydane wokół ransomware Gunra wymierzonego w organizacje opieki zdrowotnej, wielokrotnie wskazywały, jak atakujący wykorzystują martwe punkty w monitorowaniu, aby zmaksymalizować szkody, zanim ktokolwiek zauważy. Sektor opieki zdrowotnej w szczególności był powracającym celem, co szczegółowo opisano w biuletynach o rosnącym zagrożeniu Gunra dla szpitali, ponieważ wrażliwe dane pacjentów w połączeniu z pilnością operacyjną sprawiają, że organizacje są bardziej skłonne do szybkiej zapłaty. Podejście The Gentlemen polegające na oślepianiu EDR wpisuje się w ten sam scenariusz: wyłącz obserwujących, a potem działaj bez pośpiechu.

Co to oznacza dla Ciebie

Jeśli zarządzasz operacjami IT lub bezpieczeństwa w firmie, ten biuletyn przypomina, że samo oprogramowanie EDR nie jest gwarancją ochrony. Atakujący aktywnie budują narzędzia zaprojektowane do jego pokonania, a pojedynczy wyłączony agent na jednej maszynie może być różnicą między powstrzymanym incydentem a naruszeniem całej sieci. Wielowarstwowe zabezpieczenia, w tym monitorowanie na poziomie sieci, które nie zależy wyłącznie od raportowania agentów endpoint, stają się coraz bardziej konieczne, aby wykryć wtargnięcie, gdy sygnał EDR milknie.

Dla codziennych użytkowników i konsumentów wniosek dotyczy mniej bezpośredniego działania, a bardziej świadomości. Grupy ransomware takie jak The Gentlemen ostatecznie celują w organizacje, które przechowują Twoje dane — od pracodawców po świadczeniodawców opieki zdrowotnej i firmy usługowe. Gdy te organizacje tracą wgląd w atak, wynikające z tego powiadomienia o naruszeniu mogą być opóźnione lub niekompletne, dlatego czujność wobec ujawnień naruszeń i szybkie reagowanie na propozycje zmiany hasła lub monitorowania kredytu mają znaczenie większe niż kiedykolwiek.

Wyprzedzanie ransomware omijającego EDR

Obrona przed The Gentlemen i podobnymi grupami wymaga traktowania EDR jako jednej z kilku warstw, a nie pojedynczego punktu awarii. Zespoły bezpieczeństwa powinny monitorować nieautoryzowane próby odinstalowania lub wyłączenia agentów bezpieczeństwa, ponieważ takie zachowanie samo w sobie jest silnym wczesnym sygnałem ostrzegawczym aktywnego wtargnięcia. Utrzymywanie systemów w stanie załatania ma również znaczenie, ponieważ atakujący często polegają na znanych lukach w zabezpieczeniach, aby uzyskać początkową przyczółek potrzebny do dotarcia do narzędzi bezpieczeństwa i ich wyłączenia — dynamika widoczna również w niedawnych wytycznych dotyczących załatań, takich jak biuletyn o zero-day w Windows dla CVE-2026-68820.

Ostatecznie wzrost taktyk unikania EDR przez ransomware The Gentlemen podkreśla zmianę w sposobie działania grup ransomware: walka zaczyna się teraz przed szyfrowaniem, w momencie, gdy atakujący próbują oślepić Twoje zabezpieczenia. Organizacje, które budują redundancję w monitorowaniu, segmentują sieci, aby ograniczyć ruch lateralny, i szkolą personel w rozpoznawaniu wczesnych oznak manipulacji przy oprogramowaniu bezpieczeństwa, będą w znacznie lepszej pozycji niż te polegające na EDR jako jedynej siatce bezpieczeństwa.

Praktyczne wnioski:

  • Sprawdź, czy Twoje oprogramowanie EDR lub antywirusowe ma włączoną ochronę przed manipulacją i nie można go wyłączyć bez dodatkowego uwierzytelnienia.
  • Skonfiguruj alerty specjalnie dla odinstalowań, wyłączeń lub zatrzymań usług agenta EDR, ponieważ takie zachowanie samo w sobie jest sygnałem ostrzegawczym.
  • Dodaj monitorowanie sieciowe obok narzędzi endpoint, aby wgląd nie znikał, gdy jeden agent zamilknie.
  • Łataj znane luki w zabezpieczeniach na bieżąco, ponieważ niezałatane systemy pozostają najłatwiejszym punktem wejścia dla afiliantów RaaS.
  • Jeśli jesteś konsumentem, uważaj na powiadomienia o naruszeniach od organizacji, z którymi masz kontakt, i szybko reaguj na wszelkie zalecane zmiany hasła lub zabezpieczeń konta.