The Gentlemen-ransomware: Hur den slår ut dina EDR-verktyg

En ransomware-operation känd som The Gentlemen, spårad av Microsoft under namnet Storm-2697, väcker ny uppmärksamhet från säkerhetsforskare för en specifik och oroande förmåga: att inaktivera verktyg för slutpunktsdetektering och -respons (EDR) innan en attack lanseras. En ny advisory bryter ner hur denna grupp slår ut just de försvar som organisationer förlitar sig på för att upptäcka intrång, och vad försvarare kan göra för att täppa till luckan.

The Gentlemen verkar som en ransomware-as-a-service-plattform (RaaS), vilket innebär att kärngruppen bygger och underhåller skadlig kod medan ett nätverk av affiliates utför de faktiska intrången och förhandlingarna. Denna modell har blivit den dominerande strukturen bakom storskaliga ransomware-kampanjer eftersom den låter operatörerna skala snabbt och sprida sina verktyg till fler angripare utan att själva utföra det praktiska intrångsarbetet. Forskare beskriver The Gentlemen som ekonomiskt motiverade, med rysktalande ursprung och snabb tillväxt under ett relativt kort tidsfönster, ett mönster som speglar andra RaaS-grupper som expanderat aggressivt när deras affiliatemodell mognat.

Hur The Gentlemen-ransomware slår ut EDR-försvar

EDR-programvara är designad att vara den sista försvarslinjen på en komprometterad enhet: den övervakar misstänkt processbeteende, flaggar ovanlig filaktivitet och kan isolera en maskin innan ransomware hinner kryptera filer. The Gentlemen:s tillvägagångssätt riktar sig specifikt mot detta lager. Istället för att försöka smyga förbi EDR-verktyg är gruppens verktygslåda byggd för att inaktivera, avinstallera eller på annat sätt neutralisera dem direkt, vilket effektivt tar bort larmsystemet innan intrånget ens upptäckts.

Den här typen av EDR-dödande förmåga har blivit en återkommande funktion i moderna ransomware-verktygslådor, och den förändrar kalkylen för försvarare. Ett nätverk som antar att dess EDR-agent alltid kommer att rapportera tillbaka är sårbart om en angripares första drag är att tysta den agenten. När säkerhetsverktygen slocknar kan ransomware-operatörerna röra sig lateralt, skörda autentiseringsuppgifter och förbereda data för exfiltrering med långt mindre risk för tidig upptäckt. Detta speglar en bredare trend som ses bland ransomware-familjer: hotaktörer prioriterar alltmer att inaktivera säkerhetsverktyg som ett första steg, inte som en eftertanke, eftersom det ger dem den tid som behövs för att slutföra en nätverksomfattande krypterings- och utpressningskampanj.

Varför detta spelar roll bortom lösensumeddelandet

Integritetskonsekvenserna av att slå ut EDR sträcker sig bortom den omedelbara störningen av en ransomware-attack. De flesta moderna ransomware-operationer, inklusive dubbelutpressningsgrupper, stjäl data innan de krypterar den. Om EDR-verktyg inaktiveras tidigt i intrånget förlorar organisationer synlighet i exakt vad som åtkommits, kopierats eller exfiltrerats under det fönster då angriparna kontrollerade nätverket. Denna osäkerhet komplicerar anmälan om dataintrång, regulatorisk rapportering och alla ansträngningar att informera drabbade kunder eller patienter om vilka data som kan ha exponerats.

Detta är ett välbekant mönster inom ransomware-landskapet. Advisories som täcker andra aktiva grupper, såsom de gemensamma varningarna kring Gunra-ransomware som riktar sig mot vårdorganisationer, har upprepade gånger flaggat hur angripare utnyttjar blinda fläckar i övervakningen för att maximera skadan innan någon märker något. Vårdsektorn har i synnerhet varit ett återkommande mål, vilket beskrivs i advisories om Gunras växande hot mot sjukhus, eftersom känsliga patientdata i kombination med operativ brådska gör organisationer mer benägna att betala snabbt. The Gentlemen:s EDR-släckande tillvägagångssätt passar in i samma spelbok: slå ut övervakarna, ta sedan din tid.

Vad detta innebär för dig

Om du driver IT- eller säkerhetsverksamhet för ett företag är denna advisory en påminnelse om att EDR-programvara ensam inte är en garanti för skydd. Angripare bygger aktivt verktyg designade för att besegra den, och en enda inaktiverad agent på en maskin kan vara skillnaden mellan en begränsad incident och ett nätverksomfattande intrång. Skiktade försvar, inklusive nätverksövervakning som inte enbart är beroende av att slutpunktsagenter rapporterar in, blir alltmer nödvändiga för att fånga upp ett intrång när EDR-signalen tystnar.

För vardagliga användare och konsumenter handlar slutsatsen mindre om direkta åtgärder och mer om medvetenhet. Ransomware-grupper som The Gentlemen riktar sig i slutändan mot organisationer som innehar dina data, från arbetsgivare till vårdgivare till tjänsteföretag. När dessa organisationer förlorar synlighet i en attack kan de resulterande anmälningarna om dataintrång fördröjas eller vara ofullständiga, vilket är anledningen till att det är viktigare än någonsin att vara uppmärksam på avslöjanden om intrång och agera snabbt på erbjudanden om lösenordsändringar eller kreditövervakning.

Att ligga steget före EDR-undvikande ransomware

Att försvara sig mot The Gentlemen och liknande grupper kräver att man behandlar EDR som ett lager bland flera snarare än en enda felpunkt. Säkerhetsteam bör övervaka obehöriga försök att avinstallera eller inaktivera säkerhetsagenter, eftersom detta beteende i sig är ett starkt tidigt varningstecken på ett aktivt intrång. Att hålla system patchede spelar också roll, eftersom angripare ofta förlitar sig på kända sårbarheter för att få det initiala fotfäste som behövs för att nå och inaktivera säkerhetsverktyg, en dynamik som även ses i nylig patch-vägledning som Windows zero-day-advisory för CVE-2026-68820.

I slutändan understryker uppkomsten av The Gentlemen-ransomwares EDR-undvikelsestaktiker en förskjutning i hur ransomware-grupper opererar: kampen börjar nu före krypteringen, i det ögonblick då angripare försöker slå ut dina försvar. Organisationer som bygger redundans i sin övervakning, segmenterar nätverk för att begränsa lateral rörelse och utbildar personal att känna igen tidiga tecken på manipulering av säkerhetsprogramvara kommer att vara långt bättre positionerade än de som förlitar sig på EDR som ett enda skyddsnät.

Åtgärdsbara slutsatser:

• Granska om din EDR- eller antivirusprogramvara har manipuleringsskydd aktiverat och inte kan inaktiveras utan ytterligare autentisering.
• Ställ in larm specifikt för avinstallationer, inaktiveringar eller tjänstestopp av EDR-agenter, eftersom detta beteende i sig är en varningsflagga.
• Lägg nätverksbaserad övervakning vid sidan av slutpunktsverktyg så att synligheten inte försvinner om en agent slocknar.
• Patchea kända sårbarheter snabbt, eftersom opatchade system förblir den enklaste ingångspunkten för RaaS-affiliates.
• Om du är konsument, håll utkik efter anmälningar om dataintrång från organisationer du interagerar med och agera snabbt på rekommenderade lösenords- eller kontosäkerhetsändringar.