Операция по распространению программ-вымогателей, известная как The Gentlemen (отслеживается Microsoft под именем Storm-2697), привлекает новое внимание исследователей безопасности благодаря специфической и тревожной возможности: способности отключать инструменты обнаружения и реагирования на конечных точках (EDR) до начала атаки. Новый бюллетень разбирает, как эта группа ослепляет именно те средства защиты, на которые организации полагаются для выявления вторжений, и что могут сделать защитники, чтобы закрыть эту брешь.

The Gentlemen действует как платформа ransomware-as-a-service (RaaS), что означает: основная группа разрабатывает и поддерживает вредоносное ПО, а сеть партнёров осуществляет фактические взломы и переговоры. Эта модель стала доминирующей структурой за крупномасштабными кампаниями программ-вымогателей, поскольку позволяет операторам быстро масштабироваться, распространяя свои инструменты на большее число атакующих без необходимости самим выполнять практическую работу по вторжению. Исследователи описывают The Gentlemen как финансово мотивированную группу с русскоязычным происхождением и быстрым ростом за относительно короткий промежуток времени — модель, повторяющую другие RaaS-группы, которые агрессивно расширялись после того, как их партнёрская модель созрела.

Как ransomware The Gentlemen ослепляет EDR-защиту

Программное обеспечение EDR задумано как последняя линия обороны на скомпрометированном устройстве: оно отслеживает подозрительное поведение процессов, фиксирует необычную файловую активность и может изолировать машину до того, как программа-вымогатель завершит шифрование файлов. Подход The Gentlemen целенаправленно нацелен именно на этот уровень. Вместо того чтобы пытаться незаметно обойти EDR-инструменты, набор инструментов группы создан для их отключения, удаления или иной нейтрализации — фактически система сигнализации снимается ещё до того, как взлом будет замечен.

Подобная возможность «убийцы EDR» стала повторяющейся чертой современных инструментариев программ-вымогателей и меняет расчёты для защитников. Сеть, которая предполагает, что её EDR-агент всегда будет отчитываться, уязвима, если первым действием атакующего станет «заглушение» этого агента. Как только средства безопасности гаснут, операторы программ-вымогателей могут перемещаться по сети, собирать учётные данные и готовить данные к эксфильтрации с гораздо меньшим риском раннего обнаружения. Это отражает более широкую тенденцию, наблюдаемую среди семейств программ-вымогателей: злоумышленники всё чаще ставят отключение средств безопасности на первое место, а не как запоздалую мысль, потому что это даёт им время, необходимое для завершения кампании шифрования и вымогательства в масштабах всей сети.

Почему это важно за пределами записки о выкупе

Последствия ослепления EDR для конфиденциальности выходят за рамки непосредственного сбоя от атаки программы-вымогателя. Большинство современных операций с программами-вымогателями, включая группы двойного вымогательства, похищают данные до их шифрования. Если EDR-инструменты отключены на ранней стадии вторжения, организации теряют видимость того, что именно было доступно, скопировано или похищено в течение окна, когда атакующие контролировали сеть. Эта неопределённость усложняет уведомление о нарушениях, регуляторную отчётность и любые усилия сообщить затронутым клиентам или пациентам, какие данные могли быть раскрыты.

Это знакомая картина в ландшафте программ-вымогателей. Бюллетени, охватывающие другие активные группы, такие как совместные предупреждения, выпущенные вокруг ransomware Gunra, нацеленного на организации здравоохранения, неоднократно отмечали, как атакующие используют слепые зоны в мониторинге, чтобы максимизировать ущерб до того, как кто-либо заметит. Сектор здравоохранения, в частности, был повторяющейся целью, как подробно описано в бюллетенях о растущей угрозе Gunra для больниц, потому что конфиденциальные данные пациентов в сочетании с оперативной срочностью делают организации более склонными быстро платить. Подход The Gentlemen с ослеплением EDR вписывается в ту же схему: отключи наблюдателей, а затем не спеши.

Что это значит для вас

Если вы управляете ИТ или безопасностью бизнеса, этот бюллетень — напоминание о том, что программное обеспечение EDR само по себе не является гарантией защиты. Атакующие активно создают инструменты, предназначенные для его обхода, и один отключённый агент на одной машине может стать разницей между локализованным инцидентом и компрометацией всей сети. Многоуровневая защита, включая мониторинг на сетевом уровне, не зависящий исключительно от отчётности конечных агентов, становится всё более необходимой, чтобы поймать вторжение, когда сигнал EDR замолкает.

Для обычных пользователей и потребителей вывод касается не столько прямых действий, сколько осведомлённости. Группы программ-вымогателей, такие как The Gentlemen, в конечном счёте нацелены на организации, которые хранят ваши данные, — от работодателей до поставщиков медицинских услуг и сервисных компаний. Когда эти организации теряют видимость атаки, последующие уведомления о нарушениях могут быть задержаны или неполны, поэтому бдительность в отношении раскрытия информации о нарушениях и быстрые действия по предложениям сменить пароль или воспользоваться мониторингом кредита важны как никогда.

Опережая программы-вымогатели, уклоняющиеся от EDR

Защита от The Gentlemen и подобных групп требует отношения к EDR как к одному из нескольких уровней, а не как к единой точке отказа. Команды безопасности должны отслеживать несанкционированные попытки удалить или отключить агенты безопасности, поскольку такое поведение само по себе является сильным ранним признаком активного вторжения. Поддержание систем в актуальном состоянии также важно, поскольку атакующие часто полагаются на известные уязвимости, чтобы получить первоначальную точку опоры, необходимую для доступа к средствам безопасности и их отключения, — динамика, также наблюдаемая в недавних рекомендациях по патчам, таких как бюллетень о zero-day уязвимости Windows CVE-2026-68820.

В конечном счёте рост тактик уклонения от EDR ransomware The Gentlemen подчёркивает сдвиг в том, как действуют группы программ-вымогателей: борьба теперь начинается до шифрования — в момент, когда атакующие пытаются ослепить вашу защиту. Организации, которые закладывают избыточность в свой мониторинг, сегментируют сети для ограничения бокового перемещения и обучают персонал распознавать ранние признаки вмешательства в программное обеспечение безопасности, будут гораздо лучше подготовлены, чем те, кто полагается на EDR как на единственную страховочную сеть.

Практические выводы:

  • Проверьте, включена ли защита от несанкционированных изменений в вашем EDR- или антивирусном ПО и нельзя ли его отключить без дополнительной аутентификации.
  • Настройте оповещения специально для случаев удаления, отключения или остановки службы EDR-агента, поскольку такое поведение само по себе является тревожным сигналом.
  • Добавьте сетевой мониторинг в дополнение к инструментам на конечных точках, чтобы видимость не исчезала, если один агент замолкает.
  • Своевременно устанавливайте патчи для известных уязвимостей, поскольку неисправленные системы остаются самой лёгкой точкой входа для партнёров RaaS.
  • Если вы потребитель, следите за уведомлениями о нарушениях от организаций, с которыми вы взаимодействуете, и быстро действуйте по любым рекомендованным изменениям пароля или безопасности аккаунта.