Cum dezactivează ransomware-ul Gentlemen instrumentele de securitate

O tulpină de ransomware recent documentată, denumită Gentlemen, duce evitarea securității la nivelul endpoint-urilor la un nou nivel. Potrivit raportărilor despre această amenințare, malware-ul implementează un driver kernel care închide sistematic aproape 180 de procese de securitate înainte de a începe criptarea fișierelor. Deoarece driverul operează la nivel kernel, cel mai profund și mai privilegiat strat al unui sistem de operare, acesta poate opri motoarele antivirus, agenții de detectare și răspuns la nivel de endpoint (EDR) și alte instrumente de monitorizare care, în mod normal, ar semnala sau bloca rutina de criptare.

Această secvențiere contează. Ransomware-ul tradițional declanșează adesea alerte de securitate în momentul în care începe să atingă fișierele, oferindu-le apărătorilor o fereastră îngustă pentru a izola o mașină sau a opri procesul. Prin dezactivarea mai întâi a software-ului de securitate, Gentlemen elimină complet acel sistem de avertizare timpurie. Faza de criptare care urmează are loc în mare parte fără opoziție, deoarece instrumentele concepute pentru a o detecta au fost deja reduse la tăcere.

De ce oprirea proceselor EDR și antivirus crește riscul pentru întreprinderi

Pentru organizațiile care se bazează în mare măsură pe securitatea endpoint-urilor ca primă linie de apărare, această abordare este deosebit de dăunătoare. Platformele EDR sunt construite pe presupunerea că vor continua să ruleze și să raporteze chiar și atunci când sunt atacate. Atunci când un driver la nivel kernel poate elimina acea vizibilitate dintr-o singură mișcare, întregul model de detecție este subminat exact în momentul în care este cel mai necesar.

Aceasta nu este o tehnică izolată. Ea se încadrează într-un tipar mai larg documentat în peisajul ransomware-ului, unde grupurile prioritizează din ce în ce mai mult dezactivarea instrumentelor defensive ca prim pas, nu ca o idee ulterioară. Raportul Halcyon T2 2026 despre grupurile de ransomware care dezactivează EDR a constatat că, deși volumul total al atacurilor ransomware a scăzut, sofisticarea tehnicilor utilizate pentru a orbi software-ul de securitate a crescut de fapt. Metoda driverului kernel a ransomware-ului Gentlemen pare să facă parte din aceeași tendință: mai puține atacuri în general, dar fiecare conceput să lovească mai puternic odată ce obține un punct de sprijin.

Pentru întreprinderi, concluzia este că securitatea endpoint-urilor nu poate fi singura linie de apărare. Dacă o singură tehnică poate neutraliza zeci de procese de securitate deodată, atunci restul stivei de securitate — segmentarea rețelei, controalele de acces și monitorizarea din afara endpoint-ului însuși — trebuie să fie suficient de puternică pentru a prinde ceea ce endpoint-ul ratează.

Unde se integrează VPN-urile și apărările la nivel de rețea în prevenirea ransomware-ului

Aici intervin instrumentele la nivel de rețea, inclusiv VPN-urile, jucând un rol de sprijin într-o strategie de apărare stratificată. Un VPN nu va împiedica ransomware-ul să cripteze fișierele odată ce rulează deja pe un dispozitiv și nu ar trebui niciodată promovat ca o soluție de sine stătătoare pentru o amenințare precum Gentlemen. Dar VPN-urile și alte controale de acces la rețea servesc într-adevăr unui scop real în limitarea modului în care atacatorii se deplasează lateral într-o rețea și a modului în care stabilesc accesul inițial care duce, în primul rând, la implementarea ransomware-ului.

Multe intruziuni ransomware încep cu credențiale compromise sau puncte de acces la distanță expuse, nu cu malware-ul în sine. Restricționarea și criptarea conexiunilor la distanță, segmentarea traficului de rețea și solicitarea accesului autentificat înainte ca un dispozitiv să poată ajunge la sistemele sensibile reduc toate numărul de căi pe care un atacator le are pentru a ajunge la o mașină unde poate, în cele din urmă, să ruleze ceva precum un driver kernel malițios. Cu alte cuvinte, VPN-urile contează cel mai mult înainte de a începe un atac, nu după ce software-ul de securitate a fost deja dezactivat.

Concluzii pentru consumatori: Backup-uri, securitate stratificată și detectare timpurie

Deși Gentlemen este discutat în principal în contextul atacurilor asupra întreprinderilor, lecția de bază se aplică și utilizatorilor individuali și întreprinderilor mici. Niciun instrument de securitate unic, fie că este vorba de software antivirus, un agent EDR sau un VPN, nu poate fi tratat ca o soluție completă de sine stătătoare.

Ce înseamnă asta pentru dumneavoastră

Dacă gestionați securitatea IT pentru o afacere sau pur și simplu doriți să vă protejați mai eficient propriile dispozitive, câțiva pași practici vă reduc expunerea la astfel de atacuri:

  • Mențineți backup-uri offline sau imuabile. Dacă criptarea are loc, un backup curat pe care ransomware-ul nu îl poate accesa rămâne cea mai rapidă modalitate de a vă recupera fără a plăti pe nimeni.
  • Stratificați-vă apărările. Combinați protecția endpoint-urilor cu controale la nivel de rețea, cum ar fi VPN-uri, firewall-uri și segmentarea accesului, astfel încât niciun instrument dezactivat să nu vă lase complet expus.
  • Monitorizați semnele de avertizare timpurie. Instalările neobișnuite de drivere, închiderile neașteptate de procese sau software-ul de securitate care tace brusc sunt toate semnale care merită investigate imediat, nu ignorate.
  • Aplicați patch-uri și restricționați privilegiile de instalare a driverelor. Driverele kernel necesită permisiuni ridicate pentru a fi încărcate, așa că limitarea persoanelor și a programelor care pot instala drivere pe un sistem blochează unul dintre punctele cheie de intrare ale ransomware-ului Gentlemen.

Tehnica driverului kernel a ransomware-ului Gentlemen este un memento clar că atacatorii creează în mod activ modalități de a ocoli instrumentele pe care apărătorii se bazează cel mai mult. A rămâne protejat înseamnă a gândi dincolo de orice produs unic și a construi straturi suprapuse de apărare, astfel încât, atunci când o măsură de siguranță eșuează, alta să rămână în picioare între datele dumneavoastră și un atacator.