Dintre cele aproximativ 90 de „EDR killers” documentate și utilizate activ în mediul real, 54 se bazează pe aceeași tehnică de bază: BYOVD. Un driver de kernel semnat în mod legitim, dar vulnerabil, este încărcat și apoi exploatat pentru a obține acces la nivel de kernel. De acolo, atacatorii pot opri agentul EDR sau pot elimina callback-urile și furnizorii ETW (Event Tracing for Windows) înainte ca orice încărcătură de ransomware să fie declanșată. Este un scenariu operațional documentat al atacatorilor care vizează în prezent mediile corporative.
În iulie 2026, cercetătorii au documentat operațiunea ransomware GodDamn, care reprezintă o rebranduire a grupului de tip „ransomware-as-a-service” Hyadina, care încărca driverul semnat PoisonX pentru a opri procesele de securitate și a elimina API din modul utilizator înainte de a-și lansa încărcătura utilă. Intruziunile au urmat un scenariu complet: AnyDesk pentru acces la distanță, un set de instrumente bazat pe NirSoft pentru colectarea datelor de autentificare și, ulterior, oprirea proceselor la nivel de kernel împotriva unor ținte din sectoarele sănătății, producției și educației din SUA.
Pentru responsabilii cu securitatea, fenomenul „Bring Your Own Vulnerable Driver” (BYOVD) a depășit stadiul de problemă care poate fi rezolvată prin aplicarea de patch-uri. Acesta evidențiază o problemă mai profundă legată de încredere la nivel arhitectural, legată de modul în care Windows gestionează driverele de kernel semnate și de ipotezele construite pe baza acestui model. Orice răspuns adecvat începe cu o înțelegere clară a modului în care BYOVD afectează măsurile de control pe care vă bazați.
TL;DR: Concluzii cheie
- Un studiu realizat de ESET a relevat că 54 dintre cele aproape 90 de instrumente cunoscute de „EDR killer” utilizează BYOVD, exploatând 35 de drivere semnate vulnerabile diferite pentru a obține acces la nivel de kernel
- BYOVD le permite atacatorilor să oprească procesele EDR, să anuleze înregistrarea callback-urilor din kernel și să dezactiveze telemetria înainte ca încărcătura de ransomware să fie executată
- Strategia de apărare în profunzime eșuează atunci când fiecare strat rulează pe același sistem de operare gazdă; compromiterea unui singur nucleu poate bloca întregul stack dintr-o singură dată
- Sandboxing-ul bazat pe emulare analizează fișierele într-o infrastructură izolată, în afara spațiului kernel al gazdei, astfel încât un agent EDR dezactivat nu poate împiedica emiterea unui verdict
- MetaDefender oferă o eficiență de detectare a vulnerabilităților de tip „zero-day” de 99,9%, la o viteză de 20 de ori mai mare decât cea a mediilor de testare tradiționale (sandbox), cu o eficiență a resurselor de 100 de ori mai mare decât în cazul abordărilor bazate pe mașini virtuale
- Cadrele de reglementare, printre care NIS2, CMMC, NERC CIP și IEC 62443, impun ca măsurile de protecție să reziste în condiții adverse, cerință pe care un singur control cu funcția BYOVD dezactivată nu o poate îndeplini
- Într-o analiză confirmată a unui set de instrumente BYOVD activ, fișierele VBoxDrv.sys și Shark.sys au fost identificate ca fiind MALICIOASE înainte ca vreo componentă să poată fi executată, ceea ce demonstrează că această tehnică este utilizată în prezent împotriva unor ținte din SUA
Ce este un atac BYOVD și cum dezactivează acesta EDR-ul?
Tehnica în sine nu este dificil de pus în practică, dar consecințele sale sunt greu de controlat. Odată ce un atacator acționează la nivel de kernel, detectarea comportamentală eșuează, deoarece senzorul nu mai este prezent. Componentele de scanare și detectare ale EDR-ului eșuează din același motiv, iar presupunerea că instrumentele de detectare vor fi prezente și funcționale atunci când este cel mai important începe să se dovedească eronată.
Potrivit ESET, 54 dintre cele aproape 90 de instrumente de neutralizare a EDR pe care compania le-a documentat utilizează BYOVD tocmai pentru că această tehnică este fiabilă, exploatând în total 35 de drivere vulnerabile. Cercetătorul ESET, Jakub Souček, a remarcat că operatorii de tip „ransomware-as-a-service” produc frecvent noi versiuni ale programului de criptare, iar instrumentele de neutralizare bazate pe BYOVD le permit să mențină acest program simplu și nedetectabil, în timp ce o componentă separată se ocupă de eludarea sistemelor de apărare.
Faptul că grupul Hyadina a folosit PoisonX – un driver de kernel publicat pe GitHub ca instrument de cercetare, care a fost apoi utilizat câteva săptămâni mai târziu în atacuri reale cu ransomware – demonstrează cât de repede aceste instrumente trec de la stadiul de „proof-of-concept” la implementarea operațională. Strategia „mai întâi neutralizarea sistemelor de apărare, apoi criptarea datelor” nu mai este o tehnică rezervată doar operatorilor sofisticați.
Responsabilii cu securitatea ar trebui să poarte discuții mai directe cu consiliile de administrație cu privire la implicațiile acestui lucru. EDR rămâne o măsură de control esențială, însă tratarea sa ca ultimă linie de apărare devine din ce în ce mai greu de justificat.
De ce strategia de apărare pe mai multe niveluri nu mai funcționează în fața amenințării BYOVD
Strategia de apărare în profunzime pornește de la premisa că niciun singur mecanism de control nu reprezintă ultima linie de apărare și că arhitectura ține cont de posibilitatea ca orice strat individual să cedeze. În practică, multe organizații implementează mai multe instrumente pentru terminale care au aceeași dependență de bază: sistemul de operare al gazdei. Dacă acel sistem de operare este compromis la nivel de kernel, întregul stack poate fi expus dintr-o dată.
Problema principală o reprezintă suprafața de atac comună, nu numărul de instrumente implementate. Un atacator care dispune de capacități BYOVD nu are nevoie să ocolească fiecare măsură de control în parte. Încărcarea și exploatarea unui singur driver vulnerabil pentru execuție la nivel de kernel îi permite atacatorului să anuleze înregistrarea callback-urilor EDR și să închidă procesele agentului înainte ca sistemele de detectare rezidente pe gazdă să aibă o șansă reală de a reacționa.
Includerea driverelor vulnerabile pe lista neagră este o măsură necesară, dar prezintă o problemă de întârziere structurală. După cum explică Brigid O Gorman, cercetătoare la Symantec, există de obicei un decalaj de câteva zile, mai des de câteva săptămâni, între momentul identificării unui driver și momentul în care actualizarea listei de blocare ajunge la terminalele companiilor. Cu alte cuvinte, atacatorii acționează de obicei mai repede decât lista. PoisonX a fost publicat în aprilie 2026 și a fost utilizat într-un atac real cu ransomware încă din iulie. Operatorii care știu că această fereastră de timp există vor continua să o exploateze.
Pentru a elimina această lacună, este necesară o analiză care să funcționeze în afara suprafeței de atac vizate de BYOVD: mutarea anumitor tipuri de inspecție a amenințărilor de pe terminal într-un strat izolat, la care o compromitere la nivel de kernel nu poate ajunge, pentru a evalua fișierele înainte ca acestea să fie executate. În acest moment, discuția privind arhitectura se îndreaptă de la securizarea terminalelor către inspecția pre-execuție.
Cum analizează tehnologia de izolare bazată pe emulare fișierele din afara „zonei de eliminare”
„Programele de tip «EDR Killers» nu reușesc să păcălească senzorul, ci pur și simplu îl elimină, iar tot ce depinde de acesta dispare odată cu el”, afirmă Jack Madine, manager senior de produs la OPSWAT.MetaDefender elimină această vulnerabilitate, finalizând analiza înainte ca fișierul să ajungă la gazda pe care ar putea-o bloca.”
MetaDefender este motorul de decizie bazat pe inteligență artificială (AI) OPSWAT, destinat detectării vulnerabilităților de tip „zero-day” la perimetrul rețelei, construit pe baza emulării aplicațiilor, și nu pe cea a mașinilor virtuale tradiționale. Această diferență este direct relevantă pentru BYOVD, deoarece mediul de analiză nu depinde niciodată de starea de funcționare a terminalului pe care îl protejează.
Sandbox-urile bazate pe mașini virtuale pot fi identificate. Programele malware mai sofisticate detectează adesea mediile virtualizate și își suprimă comportamentul dăunător, generând rezultate „curate” pentru fișiere care, de fapt, nu sunt inofensive. Infrastructura de mașini virtuale introduce, de asemenea, propria suprafață de atac, pe care atacatorii hotărâți o pot testa sau o pot ocoli; în unele cazuri, chiar sandbox-ul devine o țintă.
Procesul în cinci etape MetaDefender adoptă o abordare diferită. Etapa 1, „Reputația amenințărilor”, verifică în timp real adresele URL, adresele IP și domeniile în raport cu indicatorii cunoscuți de compromitere. Etapa 2, „Analiza predictivăbazată pe AI/ML și analiza statică”, prezice caracterul rău intenționat al fișierelor necunoscute până în acel moment, folosind modele de învățare automată și o analiză statică aprofundată, detectând amenințările de tip „zero-day” înainte ca orice cod să fie executat.
Nivelul 3, Analiza dinamică, emulează comportamentul aplicației la nivel de instrucțiuni într-un mediu izolat care rulează în afara spațiului kernel al gazdei, pe o infrastructură separată. Nivelul 4, Evaluarea amenințărilor, corelează indicatorii comportamentali într-un scor de risc bazat pe gradul de încredere, iar Nivelul 5, Identificarea amenințărilor, corelează rezultatele cu cadrul MITRE ATT&CK și efectuează o căutare de similitudine bazată pe învățare automată pentru a identifica familiile de malware și campaniile de atac.
Într-o analiză confirmată a unui atac BYOVD de tip „EDR-killer” în timp real, MetaDefender a semnalat setul de instrumente înainte ca vreo componentă să poată fi executată. Un driver VirtualBox semnat în mod legitim (VBoxDrv.sys) — un driver de la un furnizor terț cunoscut ca fiind vulnerabil și folosit frecvent pentru escaladarea privilegiilor la nivel de kernel — a fost identificat ca MALICIOUS cu un nivel maxim de încredere și etichetat ca BYOVD, alături de un al doilea driver de kernel rău intenționat (Shark.sys) și de programul de încărcare (Sea.exe) creat pentru a le implementa.
Deoarece verdictul este generat prin emulare la nivel de instrucțiuni pe o infrastructură izolată, acesta rămâne valabil indiferent dacă agentul de la nivelul terminalului mai este activ pe gazdă. Aceasta este exact situația pe care BYOVD a fost conceput să o elimine.
Această separare nu implică o acoperire completă; niciun mecanism de control nu poate asigura acest lucru. Cu o eficacitate de detectare a vulnerabilităților „zero-day” de 99,9% și o eficiență a resurselor de 100 de ori mai mare decât cea a sandboxing-ului bazat pe mașini virtuale, MetaDefender oferă acel strat de inspecție fără costurile de infrastructură care fac ca sandbox-urile tradiționale să fie impracticabile din punct de vedere operațional la scară largă. Obiectivul nu este acela de a înlocui protecția terminalelor. Ci de a ne asigura că, atunci când protecția terminalelor este depășită, un strat anterior și-a îndeplinit deja rolul.
De ce reziliența este o obligație de conformitate, nu o opțiune de proiectare
Pentru organizațiile care își desfășoară activitatea în conformitate cu NIS2, CMMC, NERC CIP sau IEC 62443, reziliența implică cerințe de control bine definite, nu doar o intenție arhitecturală. Aceste cadre de referință impun ca sistemele critice să își mențină capacitățile de protecție chiar și în condiții adverse. O arhitectură în care o singură tehnică BYOVD poate dezactiva un control primar de detectare are puține șanse să îndeplinească aceste cerințe, mai ales în contextul unei analize amănunțite ulterioare incidentului.
Analiza pre-execuție, care funcționează independent de starea terminalelor, susține în mod direct aceste cerințe de reziliență. De asemenea, aceasta generează elementele pe care raportarea privind conformitatea tinde să le solicite: indicatori de compromitere, TTP-uri identificate (tactici, tehnici și proceduri) și evaluarea riscurilor, pe care echipele de securitate le pot prezenta consiliilor de administrație și autorităților de reglementare ca dovadă a existenței unor controale funcționale și stratificate. Aceste dovezi au o pondere mai mare decât documentația privind controalele care au fost implementate, dar care au fost ulterior ocolite.
Beneficiind de încrederea a peste 2.100 de organizații, guverne și instituții din întreaga lume, inclusiv 98% dintre centralele nucleare din SUA, OPSWAT construit platforma în jurul unui principiu clar: „Nu te încrede în niciun fișier. Nu te încrede în niciun dispozitiv.™”. Acest principiu este exact ceea ce exploatează atacurile de tip BYOVD atunci când organizațiile renunță la aplicarea lui la nivelul dispozitivelor finale.
De ce viteza de inspecție determină dacă acest lucru se menține la scară largă
Strategia de apărare în profunzime rămâne la nivel teoretic dacă introduce o latență pe care operațiunile nu o pot absorbi. Mediile cu debit ridicat, precum serviciile financiare, apărarea și infrastructura critică, nu pot redirecționa fiecare fișier printr-un mediu de testare (sandbox) care are nevoie de câteva minute pentru a emite un verdict. Dacă un strat de inspecție devine un punct de blocaj, echipele găsesc modalități de a-l ocoli, iar breșa pe care acesta trebuia să o acopere se redeschide.
Arhitectura de emulare MetaDefender este concepută ținând cont de această constrângere. Cerințele reduse de resurse în comparație cu tehnologia de tip „sandbox” bazată pe mașini virtuale, combinate cu viteze de analiză de 20 de ori mai mari decât cele ale sistemelor tradiționale de tip „sandbox”, permit extinderea inspecției la volumele de fișiere ale întreprinderii, acoperind fluxurile de e-mail, fluxurile de lucru pentru transferul gestionat de fișiere și punctele de inspecție ale gateway-urilor. Această viteză este cea care face ca inspecția pre-execuție să fie viabilă ca măsură standard de control operațional, și nu doar ca o măsură utilizată după producerea unui incident.
O arhitectură de securitate care rezistă sub presiune arată adesea diferit de una care funcționează doar pe hârtie. Actorii rău intenționați care utilizează tehnici BYOVD se bazează pe discrepanța dintre măsurile de control documentate și realitatea operațională. Eliminarea acestei discrepanțe prin plasarea inspecției într-un strat la care atacurile la nivel de kernel nu pot ajunge cu ușurință și prin executarea acesteia la viteza impusă de mediu este ceea ce face ca arhitectura să funcționeze în practică.
Intruziunile documentate au clarificat problema dacă EDR poate fi dezactivat. Răspunsul este afirmativ, iar acest lucru s-a întâmplat în repetate rânduri. Rămâne însă întrebarea: ce anume detectează amenințarea înainte ca aceasta să aibă ocazia să acționeze? Aflați cum MetaDefender asigură o inspecție înainte de execuție care funcționează independent de starea terminalului.
Articole conexe
MetaDefender Pagina produsuluiMetaDefender
Articol de blog conex: Malware-ul evaziv a depășit capacitățile de detectare tradiționale bazate pe mașini virtuale
Poveste a unui client: O instituție financiară globală își extinde protecția împotriva vulnerabilităților de tip „zero-day” cu ajutorul MetaDefender
Întrebări frecvente
Ce este un atac BYOVD?
BYOVD (Bring Your Own Vulnerable Driver) este o tehnică prin care atacatorii încarcă un driver de kernel legitim, semnat, dar vulnerabil, pentru a obține privilegii de nivel Ring 0, apoi folosesc acest acces pentru a închide procesele EDR, a dezactiva telemetria și a pregăti terenul pentru o sarcină utilă de tip ransomware.
Câte instrumente de blocare a EDR utilizează BYOVD?
Potrivit ESET, 54 dintre cele aproape 90 de instrumente de blocare a EDR documentate se bazează pe BYOVD, exploatând 35 de drivere semnate vulnerabile diferite pentru a obține acces la nivel de kernel.
Poate blocarea driverelor vulnerabile să oprească atacurile BYOVD?
Blocarea driverelor vulnerabile cunoscute este eficientă, dar atacatorii trec la drivere semnate care nu se află încă pe listă, iar operatorii mai experimentați exploatează vulnerabilități de tip „zero-day” din drivere necunoscute de Microsoft și de furnizorii de soluții EDR, ceea ce permite ocolirea completă a aplicării listei de blocare.
De ce sunt vulnerabile la evaziune mediile de testare bazate pe mașini virtuale?
Mediile de testare bazate pe mașini virtuale pot fi identificate, iar programele malware avansate detectează adesea mediul virtualizat și își suprimă comportamentul rău intenționat pentru a genera un rezultat „curat”, chiar dacă fișierul nu este inofensiv.
Cum rezistă sandboxing-ul bazat pe emulare la atacurile BYOVD?
Sandboxing-ul bazat pe emulare, precum MetaDefender , analizează fișierele într-o infrastructură izolată care rulează în afara spațiului kernel al gazdei. Un atac BYOVD care dezactivează agentul EDR al terminalului nu are nicio cale de acces în acel mediu de analiză separat, astfel încât inspecția și emiterea verdictului continuă indiferent de starea gazdei.
Inspecția pre-execuție înlocuiește EDR?
Nu. EDR rămâne un mecanism de control important în cadrul arhitecturii generale. Inspecția pre-execuție adaugă un strat care își îndeplinește funcția înainte ca un atacator să aibă șansa de a dezactiva mecanismele de control bazate pe gazdă, contribuind la asigurarea unei reziliențe stratificate, fără a înlocui protecția la nivel de terminal.
