Como o Ransomware Gentlemen Desativa as Ferramentas de Segurança

Uma nova variante de ransomware documentada chamada Gentlemen está levando a evasão de endpoints a um novo nível. De acordo com relatórios sobre a ameaça, o malware implanta um driver do kernel que sistematicamente encerra quase 180 processos de segurança antes mesmo de começar a criptografar arquivos. Como o driver opera no nível do kernel, a camada mais profunda e privilegiada de um sistema operacional, ele consegue desligar motores antivírus, agentes de detecção e resposta de endpoint (EDR) e outras ferramentas de monitoramento que normalmente sinalizariam ou bloqueiariam a rotina de criptografia.

Essa sequência é crucial. O ransomware tradicional frequentemente dispara alertas de segurança assim que começa a manipular arquivos, dando aos defensores uma janela estreita para isolar uma máquina ou encerrar o processo. Ao desativar o software de segurança primeiro, o Gentlemen remove completamente esse sistema de alerta precoce. A fase de criptografia que se segue acontece praticamente sem oposição, já que as ferramentas projetadas para detectá-la já foram silenciadas.

Por Que Eliminar Processos de EDR e Antivírus Aumenta o Risco Empresarial

Para organizações que dependem fortemente da segurança de endpoint como sua principal linha de defesa, essa abordagem é particularmente danosa. As plataformas de EDR são construídas com base na premissa de que continuarão em execução e reportando mesmo quando sob ataque. Quando um driver em nível de kernel consegue eliminar essa visibilidade de uma só vez, todo o modelo de detecção é minado no momento em que é mais necessário.

Essa não é uma técnica isolada. Ela se encaixa em um padrão mais amplo documentado em todo o cenário de ransomware, onde os grupos priorizam cada vez mais a desativação das ferramentas defensivas como um primeiro passo, e não como uma etapa posterior. O relatório Halcyon Q2 2026 sobre grupos de ransomware que desativam EDR constatou que, mesmo com a redução do volume total de ataques de ransomware, a sofisticação das técnicas usadas para cegar o software de segurança na verdade aumentou. O método do driver de kernel do Gentlemen parece fazer parte dessa mesma tendência: menos ataques no geral, mas cada um projetado para causar mais danos assim que consegue se estabelecer.

Para as empresas, a lição é que a segurança de endpoint não pode ser a única linha de defesa. Se uma única técnica pode neutralizar dezenas de processos de segurança de uma vez, então o restante da pilha de segurança — segmentação de rede, controles de acesso e monitoramento fora do próprio endpoint — precisa ser robusto o suficiente para detectar o que o endpoint não percebe.

O Papel das VPNs e Defesas no Nível de Rede na Prevenção de Ransomware

É aqui que as ferramentas no nível de rede, incluindo as VPNs, desempenham um papel de apoio em uma estratégia de defesa em camadas. Uma VPN não impedirá que o ransomware criptografe arquivos uma vez que já esteja em execução em um dispositivo, e jamais deve ser comercializada como uma solução isolada para uma ameaça como o Gentlemen. No entanto, as VPNs e outros controles de acesso à rede têm um propósito real em limitar a movimentação lateral dos invasores pela rede e a forma como eles estabelecem o acesso inicial que leva a uma implantação de ransomware.

Muitas invasões de ransomware começam com credenciais comprometidas ou pontos de acesso remoto expostos, não com o malware em si. Restringir e criptografar conexões remotas, segmentar o tráfego de rede e exigir acesso autenticado antes que um dispositivo possa alcançar sistemas sensíveis reduz o número de caminhos que um invasor tem para chegar a uma máquina onde poderá eventualmente executar algo como um driver de kernel malicioso. Em outras palavras, as VPNs são mais importantes antes do início de um ataque, não depois que o software de segurança já foi desativado.

O Que o Consumidor Deve Saber: Backups, Segurança em Camadas e Detecção Precoce

Embora o Gentlemen esteja sendo discutido principalmente no contexto de ataques empresariais, a lição fundamental se aplica também a usuários individuais e pequenas empresas. Nenhuma ferramenta de segurança isolada, seja um software antivírus, um agente de EDR ou uma VPN, pode ser tratada como uma solução completa por si só.

O Que Isso Significa Para Você

Se você gerencia a segurança de TI de uma empresa ou simplesmente deseja proteger seus próprios dispositivos de forma mais eficaz, algumas medidas práticas reduzem sua exposição a ataques como este:

  • Mantenha backups offline ou imutáveis. Se a criptografia acontecer, um backup limpo que o ransomware não consiga alcançar ainda é a maneira mais rápida de se recuperar sem pagar a ninguém.
  • Defesa em camadas. Combine a proteção de endpoint com controles no nível de rede, como VPNs, firewalls e segmentação de acesso, para que a desativação de uma única ferramenta não o deixe totalmente exposto.
  • Monitore sinais de alerta precoce. Instalações incomuns de drivers, encerramentos inesperados de processos ou o silêncio súbito do software de segurança são sinais que merecem investigação imediata, em vez de serem ignorados.
  • Aplique correções e restrinja privilégios de instalação de drivers. Drivers de kernel exigem permissões elevadas para serem carregados, portanto limitar quem e o que pode instalar drivers em um sistema fecha um dos principais pontos de entrada do Gentlemen.

A técnica do driver de kernel do ransomware Gentlemen é um claro lembrete de que os invasores estão ativamente criando maneiras de contornar as ferramentas nas quais os defensores mais confiam. Manter-se protegido significa pensar além de qualquer produto único e construir camadas sobrepostas de defesa, para que, quando uma salvaguarda falhar, outra ainda esteja de pé entre seus dados e um invasor.