A jelenleg aktívan használt, körülbelül 90 dokumentált EDR-ellenes támadási módszer közül 54 ugyanazon alaptechnikára épül: a BYOVD-re. Egy jogszerűen aláírt, de sebezhető rendszermag-illesztőprogramot töltenek be, majd azt kihasználják a rendszermag-szintű hozzáférés megszerzésére. Innen a támadók leállíthatják az EDR-ügynököt, vagy eltávolíthatják a visszahívásokat és az ETW (Event Tracing for Windows) szolgáltatókat, mielőtt a ransomware hasznos terhelése elindulna. Ez egy dokumentált operatív stratégia, amelyet jelenleg a vállalati környezeteket célzó támadók alkalmaznak.
2026 júliusában a kutatók dokumentálták a GodDamn ransomware-műveletet, amely a Hyadina ransomware-as-a-service csoport átnevezett változata; a támadók a PoisonX aláírt illesztőprogramot töltötték be a biztonsági folyamatok leállítására és API felhasználói módú API eltávolítására, mielőtt a kártékony kódot telepítették volna. A behatolások során a támadók a teljes taktikai repertoárt alkalmazták: az AnyDesk programot a távoli hozzáféréshez, egy NirSoft-alapú hitelesítőadatok-gyűjtő eszközkészletet, majd kernel-szintű folyamatmegszüntetést az amerikai egészségügyi, gyártási és oktatási célpontok ellen.
A biztonsági vezetők számára a „Bring Your Own Vulnerable Driver” (BYOVD) jelenség már túllépett azon a szinten, ahol a problémát egyszerűen javításokkal lehetne megoldani. Ez egy mélyebb, architektúra szintű bizalmi problémára utal, amely összefügg azzal, ahogyan a Windows kezeli az aláírt rendszermag-illesztőprogramokat, valamint az e modellre épülő feltételezésekkel. Bármely érdemi válaszlépés azzal kezdődik, hogy pontosan megértsük: milyen hatással van a BYOVD azokra a biztonsági intézkedésekre, amelyekre támaszkodunk.
TL;DR: A legfontosabb tanulságok
- Az ESET kutatása szerint a közel 90 ismert EDR-megkerülő eszköz közül 54 használja a BYOVD-t, és 35 különböző, sebezhető, aláírt illesztőprogramot használ ki a rendszermag-szintű hozzáférés elérése érdekében.
- A BYOVD lehetővé teszi a támadók számára, hogy leállítsák az EDR-folyamatokat, töröljék a kernel-visszahívások regisztrációját, és letiltsák a telemetriát, még mielőtt a zsarolóprogram hasznos terhelése egyáltalán végrehajtódna
- A többszintű védelem hatástalanná válik, ha minden réteg ugyanazon a gazdagép operációs rendszerén fut; a rendszermag egyetlen megfertőződése egyszerre az egész rendszerláncot védtelenné teheti
- sandboxing emulációalapú sandboxing a fájlokat a gazdagép kerneltérén kívüli, elszigetelt infrastruktúrán sandboxing , így egy letiltott EDR-ügynök sem tudja megakadályozni a minősítés kiadását
- MetaDefender 99,9%-os zero-day hatékonyságot biztosít, a hagyományos sandboxoknál 20-szor gyorsabban, miközben erőforrás-hatékonysága 100-szerese a virtuális gépen alapuló megoldásokénak
- Az olyan szabályozási keretrendszerek, mint az NIS2, a CMMC, a NERC CIP és az IEC 62443, megkövetelik, hogy a védelmi képességek kedvezőtlen körülmények között is működőképesek maradjanak, amit egyetlen, BYOVD-vel letiltott vezérlő nem tud biztosítani
- Egy működő BYOVD eszközkészlet megerősített elemzése során a VBoxDrv.sys és a Shark.sys fájlokat „KÁROS” minősítéssel azonosították, még mielőtt bármely komponens végrehajtódhatott volna, ami azt mutatja, hogy ezt a technikát ma is aktívan alkalmazzák amerikai célpontok ellen
Mi az a BYOVD-támadás, és hogyan teszi működésképtelenné az EDR-t?
Maga a technika végrehajtása nem bonyolult, de következményeit nehéz kordában tartani. Amint a támadó a rendszermag szintjén kezd el működni, a viselkedésalapú észlelés hatástalanná válik, mivel az érzékelő már nincs jelen. Az EDR vizsgálati és észlelési komponensei ugyanezen okból nem működnek, és az a feltételezés, hogy az észlelési eszközök a legkritikusabb pillanatban is rendelkezésre állnak és működnek, kezd megdőlni.
Az ESET szerint a vállalat által dokumentált közel 90 EDR-eltávolító eszköz közül 54 kifejezetten a BYOVD technikát használja, mivel ez megbízható, és összesen 35 sebezhető illesztőprogramot használ ki. Jakub Souček, az ESET kutatója megjegyezte, hogy a „ransomware-as-a-service” szolgáltatók gyakran készítenek új titkosító-verziókat, és a BYOVD-alapú eltávolító eszközök lehetővé teszik számukra, hogy a titkosítót egyszerűen és észrevétlenül tartsák, miközben egy külön komponens foglalkozik a védelmi rendszerek kijátszásával.
Az, hogy a Hyadina csoport felhasználta a PoisonX-et – amely egy kutatási eszközként a GitHubon közzétett rendszermag-illesztőprogram, majd néhány héttel később valódi zsarolóvírus-támadásokban is alkalmazták –, jól mutatja, milyen gyorsan jutnak el ezek az eszközök a koncepcióbizonyítástól az operatív bevetésig. A „először a védelmi rendszerek kikapcsolása, utána a titkosítás” elve már nem csupán a kifinomult támadók kiváltsága.
A biztonsági vezetőknek közvetlenebb párbeszédet kellene folytatniuk igazgatótanácsaikkal arról, hogy ez mit jelent. Az EDR továbbra is kulcsfontosságú védelmi eszköz, de egyre nehezebb indokolni, hogy azt a védelem utolsó vonalaként kezeljük.
Miért nem működik a többszintű védelem a BYOVD ellen?
A többszintű védelem elve abból indul ki, hogy egyetlen védelmi elem sem szolgálhat utolsó védelmi vonalként, és hogy az architektúra figyelembe veszi az egyes rétegek esetleges meghibásodását. A gyakorlatban számos szervezet több végpont-védelmi eszközt is üzemeltet, amelyek ugyanazon alapvető függőséget osztják meg: a gazdagép operációs rendszerét. Ha ez az operációs rendszer a kernelszinten kompromittálódik, az egész rendszer egyszerre sebezhetővé válhat.
A legfontosabb kérdés a közös támadási felület, nem pedig a telepített eszközök száma. Egy BYOVD-képes támadónak nem kell minden egyes védelmi mechanizmust külön-külön megkerülnie. Ha betölt egy sebezhető illesztőprogramot és azt kihasználja a rendszermag szintű végrehajtáshoz, a támadó törölheti az EDR-visszahívások regisztrációját és leállíthatja az ügynökfolyamatokat, mielőtt a gazdagépen futó észlelő rendszereknek érdemi esélyük lenne reagálni.
A sebezhető illesztőprogramok blokkolási listára helyezése elengedhetetlen lépés, de strukturális késleltetési problémával jár. Ahogy Brigid O Gorman, a Symantec kutatója elmagyarázza, általában napok, gyakrabban hetek telnek el az illesztőprogram azonosítása és a blokkolási lista frissítésének a vállalati végpontokra való eljutása között. Más szavakkal: a támadók rendszerint gyorsabban reagálnak, mint a lista frissül. A PoisonX-et 2026 áprilisában tették közzé, és júliusra már élő ransomware-támadásban is felhasználták. Azok a támadók, akik tudnak ennek az időrésnek a létezéséről, továbbra is ki fogják használni.
Ezen hiányosság kiküszöböléséhez olyan elemzésre van szükség, amely a BYOVD által megcélzott támadási felületen kívül működik: bizonyos típusú fenyegetés-ellenőrzéseket el kell helyezni a végpontról egy olyan elszigetelt rétegbe, amelyet a rendszermag-szintű behatolás nem érhet el, hogy a fájlokat még a végrehajtásuk előtt értékelni lehessen. Ekkor az architektúrával kapcsolatos vita a végpontok megerősítéséről a végrehajtás előtti ellenőrzés felé fordul.
Hogyan Sandboxing emulációalapú Sandboxing a „kill zone” határain kívüli fájlokat?
„Az EDR-gyilkosok nem csalják ki az érzékelőt, hanem egyszerűen eltávolítják azt, és ezzel együtt minden, ami attól függ, szintén eltűnik” – mondja Jack Madine, OPSWAT vezető termékmenedzsere.Aether MetaDefender Aether ezt a réstAether azzal, hogy befejezi az elemzést, mielőtt a fájl eljutna ahhoz a gazdagéphez, amelyet megzavarhatna.”
Aether MetaDefender Aether OPSWAT mesterséges intelligenciára épülő döntéshozatali motorja, amely a hálózati peremterületen történő zero-day Aether , és amely a hagyományos virtuális gépek helyett az alkalmazás-emuláción alapul. Ez a különbség közvetlenül releváns a BYOVD szempontjából, mivel az elemzési környezet soha nem függ a védett végpont állapotától.
A virtuális gépeken (VM) alapuló sandboxok ujjlenyomat-alapú azonosításra alkalmasak. A fejlettebb kártevőprogramok gyakran felismerik a virtualizált környezetet, és elnyomják a rosszindulatú viselkedést, így olyan fájlok esetében is „tiszta” minősítést adnak, amelyek valójában nem ártalmatlanok. A virtuális gépek infrastruktúrája emellett saját támadási felületet is teremt, amelyet az elszánt támadók felderíthetnek vagy kijátszhatnak; egyes esetekben sandbox a sandbox célponttá válik.
AetherMetaDefender Aether ötrétegű feldolgozási folyamata eltérő megközelítést alkalmaz. Az 1. réteg, a „Threat Reputation” ( Fenyegetés-hírnév) valós időben ellenőrzi az URL-eket, IP-címeket és domainneveket az ismert fertőzésjelzőkkel összehasonlítva. A 2. réteg, a „PredictiveAlin AI/ML & Static Analysis” ( PrediktívAlin AI/ML és statikus elemzés) gépi tanulási modellek és mélyreható statikus elemzés segítségével előre jelzi a korábban még nem látott fájlok rosszindulatúságát, így a kód végrehajtása előtt kiszűri zero-day .
A 3. réteg ( Dinamikus elemzés) az alkalmazás viselkedését utasításszinten szimulálja egy elszigetelt környezetben, amely a gazdagép kerneltérén kívül, különálló infrastruktúrán fut. A 4. réteg ( Fenyegetésértékelés) a viselkedési mutatókat összefüggésbe hozza, és azok alapján megbízhatósági alapú kockázati pontszámot állapít meg, míg az 5. réteg ( Fenyegetéskeresés) az eredményeket a MITRE ATT&CK-hez rendeli hozzá, és gépi tanuláson alapuló hasonlósági keresést futtat a rosszindulatú programcsaládok és kampányok feltárása érdekében.
Egy aktív BYOVD EDR-killer megerősített elemzése során MetaDefender Aether még azelőttAether az eszközkészletet, hogy bármelyik összetevője végrehajtódhatott volna. Egy jogszerűen aláírt VirtualBox-illesztőprogram (VBoxDrv.sys) – egy harmadik fél által fejlesztett illesztőprogram, amelyről ismert, hogy sebezhető, és amelyet gyakran használnak ki a kernel-szintű jogosultságok kiterjesztésére – teljes bizonyossággal „MALICIOUS” (rosszindulatú) minősítést kapott, és BYOVD-ként lett megjelölve, egy második rosszindulatú kernel-illesztőprogrammal (Shark.sys) és a telepítésükre szolgáló betöltőprogrammal (Sea.exe) együtt.
Mivel az eredményt egy elkülönített infrastruktúrán végzett utasításszintű emuláció alapján állapítják meg, az eredmény akkor is érvényes marad, ha a végpont-ügynök már nem fut a gazdagépen. Pontosan ezt a helyzetet hivatott kiküszöbölni a BYOVD.
Ez az elválasztás nem jelenti a teljes lefedettséget; ezt egyetlen védelmi megoldás sem biztosítja.Aether MetaDefender Aether 99,9%-os zero-day hatékonysággal és sandboxing virtuális gépen alapuló sandboxing képest 100-szer nagyobb erőforrás-hatékonysággalAether ezt az ellenőrzési réteget anélkül, hogy az infrastruktúra terhelése miatt a hagyományos sandboxok nagy léptékben üzemeltetése kivitelezhetetlenné válna. A cél nem az, hogy felváltsa a végpontvédelmet. Hanem annak biztosítása, hogy amennyiben a végpontvédelmet áttörik, egy előző réteg már elvégezte a feladatát.
Miért jelent a rugalmasság jogszabályi kötelezettséget, és nem csupán tervezési döntést?
Az NIS2, a CMMC, a NERC CIP vagy az IEC 62443 előírásai szerint működő szervezetek esetében a rugalmasság nem csupán az architektúra szándékát jelenti, hanem konkrét ellenőrzési elvárásokat is magában foglal. Ezek a keretrendszerek megkövetelik, hogy a kritikus rendszerek kedvezőtlen körülmények között is megőrizzék védelmi képességeiket. Az a rendszerarchitektúra, amelyben egyetlen BYOVD-technika is képes kikapcsolni egy elsődleges észlelési ellenőrző mechanizmust, aligha felel meg ezeknek az elvárásoknak, különösen egy incidens utáni vizsgálat során.
A végpontok állapotától függetlenül működő, végrehajtás előtti elemzés közvetlenül támogatja ezeket a rugalmassági követelményeket. Emellett olyan dokumentumokat is előállít, amelyekre a megfelelőségi jelentéseknek általában szükségük van: a biztonsági behatolásra utaló jelek, az azonosított TTP-k (taktikák, technikák és eljárások), valamint a kockázati pontszámok, amelyeket a biztonsági csapatok bemutathatnak az igazgatóságoknak és a szabályozó hatóságoknak a működő, többszintű ellenőrzések bizonyítékaként. Ezek a bizonyítékok nagyobb súllyal bírnak, mint a bevezetett, de később megkerült ellenőrzések dokumentációja.
OPSWAT világszerte több mint 2 100 szervezet, kormány és intézmény bízik, köztük az Egyesült Államok atomerőműveinek 98%-a. OPSWAT platformját egy egyértelmű elv alapján OPSWAT : „Ne bízz semmilyen fájlban. Ne bízz semmilyen eszközben.™”. Pontosan ezt az elvet használják ki a BYOVD-támadások, amikor a szervezetek elhanyagolják annak betartását a végpontokon.
Miért a vizsgálati sebesség határozza meg, hogy ez nagy léptékben is működőképes-e?
A többszintű védelem elméleti síkon marad, ha olyan késleltetést okoz, amelyet a rendszer nem képes felszámolni. Az olyan nagy átviteli sebességet igénylő környezetekben, mint a pénzügyi szolgáltatások, a védelmi ágazat és a kritikus infrastruktúra, nem lehet minden fájlt sandbox keresztül irányítani sandbox az eredmény megállapításához percekre van szüksége. Ha egy ellenőrző réteg szűk keresztmetszetté válik, a csapatok megkerülik azt, és a rés, amelyet elvileg be kellett volna zárnia, újra megnyílik.
AetherMetaDefender Aether emulációs architektúrája éppen erre a korlátozásra épül. sandboxing virtuális gépeken alapuló sandboxing képest alacsonyabb erőforrásigény, valamint a hagyományos sandboxokhoz képest 20-szor gyorsabb elemzési sebesség együttesen lehetővé teszi, hogy az ellenőrzés kiterjedjen a vállalati szintű fájlmennyiségekre az e-mail-folyamatokban, a felügyelt fájlátviteli munkafolyamatokban és az átjáró-ellenőrzési pontokon. Éppen ez a sebesség teszi a végrehajtás előtti ellenőrzést megvalósíthatóvá, mint szabványos működési ellenőrzési eszközt, nem pedig csupán incidensek utáni intézkedésként.
Az a biztonsági architektúra, amely nyomás alatt is megállja a helyét, gyakran másképp néz ki, mint az, amely csak elméletben működik. A BYOVD-technikákat alkalmazó támadók a dokumentált ellenőrzési intézkedések és a gyakorlati valóság közötti résre építenek. Az architektúra gyakorlati működését az biztosítja, hogy ezt a rést úgy zárják be, hogy az ellenőrzést olyan rétegbe helyezik, amelyet a rendszermag szintjén végrehajtott támadások nem érhetnek el könnyen, és azt a környezet által megkövetelt sebességgel futtatják.
A dokumentált behatolási esetek egyértelművé tették, hogy az EDR letiltható-e. Igen, lehetséges, és ezt már többször is megtették. A fennmaradó kérdés az, hogy mi észleli a fenyegetést, mielőtt az esélyt kapna a támadásra. Ismerje meg, hogyanAether MetaDefender Aether a végpontok állapotától függetlenül működő, végrehajtás előtti ellenőrzést.
Kapcsolódó cikkek:
MetaDefender Aether :
Kapcsolódó blogbejegyzés: A kiszámíthatatlan rosszindulatú programok már túlnőttek a hagyományos, virtuális gépen alapuló észlelésen:
Ügyfélbeszámoló: Globális pénzügyi intézmény MetaDefender Aether segítségével előrehozza Zero-Day
Gyakran ismételt kérdések
Mi az a BYOVD-támadás?
A BYOVD (Bring Your Own Vulnerable Driver) egy olyan technika, amelynek során a támadók egy legitim, aláírt, de sebezhető rendszermag-illesztőprogramot töltenek be a Ring 0 jogosultságok megszerzése érdekében, majd ezt a hozzáférést felhasználva leállítják az EDR-folyamatokat, letiltják a telemetriát, és így utat nyitnak a zsarolóprogram hasznos terhelésének.
Hány EDR-eltávolító eszköz használja a BYOVD-t?
Az ESET szerint a közel 90 dokumentált EDR-eltávolító eszköz közül 54 támaszkodik a BYOVD-re, és 35 különböző, sebezhető, aláírt illesztőprogramot használ ki a rendszermag-szintű hozzáférés elérése érdekében.
Megakadályozhatják-e a sebezhető illesztőprogramok blokkolása a BYOVD-támadásokat?
A blokkolás megakadályozza az ismert sebezhető illesztőprogramok működését, de a támadók átállnak olyan aláírt illesztőprogramokra, amelyek még nem szerepelnek a listán, míg a tapasztaltabb támadók a Microsoft és az EDR-szolgáltatók számára ismeretlen illesztőprogramokban található zero-day használnak ki, amelyek teljesen megkerülik a blokkolási szabályok érvényesítését.
Miért sebezhetőek a virtuális gépen alapuló sandboxok a védelem kijátszásával szemben?
A virtuális gépen alapuló sandboxok azonosíthatók, és a fejlett kártevőprogramok gyakran felismerik a virtualizált környezetet, majd elnyomják a rosszindulatú viselkedést, hogy „tiszta” eredményt produkáljanak, még akkor is, ha a fájl valójában nem ártalmatlan.
Hogyan sandboxing emulációalapú sandboxing a BYOVD-támadások sandboxing ?
sandboxing emulációalapú sandboxing – például MetaDefender Aether – a fájlokat a gazdagép kerneltérén kívül futó, elszigetelt infrastruktúrán elemzi. Egy olyan BYOVD-támadás, amely letiltja a végpont EDR-ügynökét, nem juthat be ebbe a különálló elemzési környezetbe, így az ellenőrzés és az eredményközlés a gazdagép állapotától függetlenül folytatódik.
A végrehajtás előtti ellenőrzés felváltja-e az EDR-t?
Nem. Az EDR továbbra is fontos védelmi elem marad a teljes architektúrában. A végrehajtás előtti ellenőrzés egy olyan réteget ad hozzá, amely még azelőtt elvégzi a feladatát, hogy a támadónak esélye lenne a gazdagépen futó védelmi mechanizmusok kikapcsolására; így nem az endpoint-védelmet váltja fel, hanem a réteges ellenállóképességet támogatja.
