A neutralização de soluções de Endpoint Detection and Response (EDR) ganhou espaço entre as estratégias utilizadas em operações de ransomware, segundo relatório da Vision Cybersecurity. Conhecidas como EDR Killers, essas ferramentas são usadas para desabilitar, interromper ou contornar mecanismos de proteção antes das etapas mais críticas de um ataque.
Ao reduzir a visibilidade das equipes de segurança, a técnica pode aumentar as chances de sucesso das invasões e dificultar a contenção dos incidentes.
BYOVD ganha espaço em ataques
Entre as técnicas que impulsionam esse cenário está o Bring Your Own Vulnerable Driver (BYOVD). O método utiliza drivers legítimos, mas vulneráveis, para obter privilégios elevados e neutralizar processos de segurança protegidos.
Com os mecanismos de proteção comprometidos, atividades como movimentação lateral, roubo de credenciais, exfiltração de dados e implantação de ransomware podem ocorrer com menor probabilidade de detecção.
Segundo a Vision Cybersecurity, os EDR Killers também deixaram de ser ferramentas restritas a grupos altamente especializados e passaram a integrar o fluxo operacional de diferentes campanhas de ransomware.
Ataques reduzem janela para resposta
O levantamento aponta a consolidação do BYOVD como uma das principais técnicas para obtenção de execução privilegiada em nível de kernel. Também foram identificadas a integração entre ferramentas de evasão e famílias de ransomware, a expansão de frameworks reutilizáveis e a automação dos processos de neutralização das soluções de segurança.
A combinação desses recursos reduz a chamada janela de detecção, intervalo entre o acesso inicial do invasor e a execução das ações de impacto.
Com menos tempo para identificar a atividade maliciosa, equipes de SOC e de Resposta a Incidentes enfrentam maiores dificuldades para interromper o ataque antes que ele avance para outras etapas.
EDR Killers ampliam impacto dos ataques
A neutralização de ferramentas de proteção pode comprometer a capacidade de detecção e resposta das organizações, além de facilitar a movimentação lateral dos invasores.
Entre os possíveis impactos estão o aumento do risco de exposição de informações sensíveis, interrupções operacionais e prejuízos financeiros.
O cenário também exige que as organizações considerem mecanismos de evasão como parte da estratégia de defesa contra ransomware, especialmente diante da combinação entre automação e técnicas de elevação de privilégios.
Vision recomenda reforço da defesa
Para reduzir a exposição aos EDR Killers, a Vision Cybersecurity recomenda políticas para bloqueio de drivers vulneráveis e o fortalecimento dos recursos nativos de segurança dos sistemas operacionais.
A empresa também orienta o monitoramento contínuo de atividades relacionadas ao carregamento de drivers, a restrição de privilégios administrativos e a realização periódica de exercícios de Threat Hunting e Purple Team.
