Los atacantes utilizan controladores confiables de Windows para eliminar los procesos AV y EDR

Los atacantes abusan cada vez más de los controladores confiables de Windows para desactivar las herramientas antivirus (AV) y de detección y respuesta de endpoints (EDR), utilizando una técnica conocida como Bring Your Own Vulnerable Driver (BYOVD). BYOVD, que alguna vez se consideró un nicho, se ha convertido rápidamente en un componente estándar de las campañas de ransomware modernas, lo que permite a los actores de amenazas operar con el nivel de privilegio más alto en entornos Windows.

Windows funciona utilizando dos niveles de privilegio: modo de usuario y modo kernel. Al aprovechar un controlador vulnerable, los atacantes pueden ejecutar acciones maliciosas en modo kernel. Tres formas en que los atacantes abusan de los controladores del kernel (Fuente: Security.com) Microsoft ha introducido varias funciones de refuerzo del kernel, incluida la aleatorización del diseño del espacio de direcciones del kernel (KASLR), la integridad del código protegido por hipervisor (HVCI) y la protección de flujo de control del kernel (KCFG). Los esfuerzos defensivos, como la lista de bloqueo de controladores vulnerables de Microsoft y la detección basada en firmas, solo brindan una protección limitada.

Las listas de bloqueo a menudo van por detrás de los controladores recién descubiertos y los atacantes pueden cambiar rápidamente a controladores alternativos o modificar herramientas para evadir la detección. La publicación Los atacantes utilizan controladores confiables de Windows para eliminar los procesos AV y EDR apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗