Dos cerca de 90 «EDR killers» documentados e ativamente utilizados em ambiente real, 54 recorrem à mesma técnica subjacente: o BYOVD. É carregado um controlador do kernel legitimamente assinado, mas vulnerável, que é depois explorado para obter acesso ao nível do kernel. A partir daí, os atacantes podem encerrar o agente EDR ou remover os callbacks e os fornecedores ETW (Event Tracing for Windows) antes de qualquer carga útil de ransomware ser acionada. Trata-se de um manual operacional documentado utilizado atualmente por adversários que têm como alvo ambientes empresariais.
Em julho de 2026, os investigadores documentaram a operação do ransomware GodDamn, que é uma rebranding do grupo de ransomware-as-a-service Hyadina, que carregava o controlador PoisonX assinado para encerrar processos de segurança e remover API em modo de utilizador antes de implementar a sua carga útil. As intrusões seguiram o manual na íntegra: o AnyDesk para acesso remoto, um conjunto de ferramentas baseado na NirSoft para a recolha de credenciais e, posteriormente, o encerramento de processos ao nível do kernel contra alvos dos setores da saúde, da indústria transformadora e da educação nos EUA.
Para os responsáveis pela segurança, o «Bring Your Own Vulnerable Driver» (BYOVD) já ultrapassou o ponto em que pode ser resolvido apenas com correções. Aponta para um problema de confiança mais profundo a nível arquitetónico, ligado à forma como o Windows lida com controladores do kernel assinados e aos pressupostos que se baseiam nesse modelo. Qualquer resposta significativa começa por uma compreensão clara do impacto que o BYOVD tem nos controlos em que confiam.
TL;DR: Pontos-chave
- Uma investigação da ESET revelou que 54 das cerca de 90 ferramentas conhecidas para contornar o EDR utilizam o BYOVD, explorando 35 controladores assinados vulneráveis distintos para obter acesso ao nível do kernel
- O BYOVD permite que os atacantes encerrem processos de EDR, cancelem o registo de callbacks do kernel e desativem a telemetria antes mesmo de a carga útil do ransomware ser executada
- A defesa em profundidade falha quando todas as camadas funcionam no mesmo sistema operativo do anfitrião; o comprometimento de um único kernel pode paralisar toda a pilha de uma só vez
- A sandboxing baseada em emulação analisa ficheiros numa infraestrutura isolada fora do espaço do kernel do anfitrião, pelo que um agente EDR desativado não pode impedir que seja emitido um veredicto
- MetaDefender oferece uma eficácia de deteção de ataques «zero-day» de 99,9%, a uma velocidade 20 vezes superior à das sandboxes tradicionais, com uma eficiência de recursos 100 vezes superior à das abordagens baseadas em máquinas virtuais
- Os quadros normativos, incluindo o NIS2, o CMMC, o NERC CIP e a norma IEC 62443, exigem que as capacidades de proteção se mantenham em condições adversas, o que um único controlo com a funcionalidade BYOVD desativada não consegue garantir
- Numa análise confirmada de um conjunto de ferramentas BYOVD ativo, os ficheiros VBoxDrv.sys e Shark.sys foram identificados como MALICIOSOS antes de qualquer componente ter podido ser executado, o que demonstra que esta técnica está atualmente a ser utilizada contra alvos nos EUA
O que é um ataque BYOVD e como é que este desativa o EDR?
A técnica em si não é complexa de executar, mas as suas consequências são difíceis de conter. Assim que um atacante passa a operar ao nível do kernel, a deteção comportamental falha, uma vez que o sensor já não está presente. Os componentes de análise e deteção do EDR falham pela mesma razão, e a suposição de que as ferramentas de deteção estarão presentes e a funcionar quando for mais importante começa a desmoronar-se.
De acordo com a ESET, 54 das cerca de 90 ferramentas de desativação de EDR que a empresa documentou utilizam especificamente a técnica BYOVD, precisamente porque esta é fiável, explorando um total de 35 controladores vulneráveis. O investigador da ESET, Jakub Souček, observou que os operadores de ransomware como serviço produzem frequentemente novas versões do encriptador, e que as ferramentas de desativação baseadas na técnica BYOVD lhes permitem manter esse encriptador simples e indetetável, enquanto um componente separado se encarrega de contornar as defesas.
A utilização do PoisonX pelo grupo Hyadina — um controlador do kernel publicado no GitHub como ferramenta de investigação e, semanas mais tarde, utilizado em ataques reais de ransomware — demonstra a rapidez com que estas ferramentas passam da fase de prova de conceito para a implementação operacional. «Desativar as defesas primeiro, encriptar depois» já não é uma técnica reservada a operadores sofisticados.
Os responsáveis pela segurança deveriam manter conversas mais diretas com os seus conselhos de administração sobre o que isto implica. O EDR continua a ser um controlo essencial, mas tratá-lo como a última linha de defesa está a tornar-se cada vez mais difícil de justificar.
Por que razão a defesa em profundidade falha face ao BYOVD
A defesa em profundidade parte do princípio de que nenhum controlo isolado funciona como última linha de defesa e que a arquitetura tem em conta a possibilidade de falha de qualquer camada individual. Na prática, muitas organizações implementam várias ferramentas de terminais que partilham a mesma dependência subjacente: o sistema operativo do anfitrião. Se esse sistema operativo for comprometido ao nível do kernel, toda a pilha pode ficar exposta de uma só vez.
A questão central é a superfície de ataque partilhada, e não o número de ferramentas implementadas. Um adversário com capacidade BYOVD não precisa de contornar cada controlo individualmente. Carregar e explorar um controlador vulnerável para execução ao nível do kernel permite ao atacante cancelar o registo das chamadas de retorno do EDR e encerrar os processos do agente antes que a deteção residente no anfitrião tenha uma oportunidade significativa de responder.
Colocar os controladores vulneráveis na lista de bloqueio é um passo necessário, mas apresenta um problema de atraso estrutural. Como explica a investigadora da Symantec, Brigid O Gorman, existe normalmente um intervalo de dias, ou mais frequentemente de semanas, entre a identificação de um controlador e a atualização da lista de bloqueio chegar aos terminais das empresas. Por outras palavras, os atacantes agem habitualmente mais depressa do que a lista. O PoisonX foi publicado em abril de 2026 e utilizado num ataque de ransomware real já em julho. Os operadores que sabem que esta janela existe continuarão a explorá-la.
Para colmatar esta lacuna, é necessária uma análise que opere fora da superfície de ataque visada pelo BYOVD: transferir certos tipos de inspeção de ameaças para fora do terminal, para uma camada isolada que não possa ser alcançada por um comprometimento ao nível do kernel, de modo a avaliar os ficheiros antes da sua execução. Nessa altura, o debate sobre a arquitetura passa do reforço da segurança dos terminais para a inspeção pré-execução.
Como o sandboxing baseado em emulação analisa ficheiros fora da «kill zone»
«Os “EDR Killers” não estão a enganar o sensor, estão simplesmente a removê-lo e tudo o que depende dele desaparece com ele», afirma Jack Madine, gestor sénior de produto da OPSWAT.MetaDefender elimina essa brecha, concluindo a análise antes mesmo de o ficheiro chegar ao anfitrião que poderia comprometer.»
MetaDefender é o motor de decisão nativo de IA OPSWAT para a deteção de ameaças «zero-day» no perímetro da rede, baseado na emulação de aplicações em vez de máquinas virtuais tradicionais. Essa distinção é diretamente relevante para o BYOVD, uma vez que o ambiente de análise nunca depende do estado do terminal que está a proteger.
É possível identificar as «sandboxes» baseadas em máquinas virtuais. O malware mais avançado deteta frequentemente ambientes virtualizados e suprime o comportamento malicioso, gerando resultados de «limpo» para ficheiros que, na realidade, não são inofensivos. A infraestrutura de máquinas virtuais também introduz a sua própria superfície de ataque, que adversários determinados podem sondar ou contornar; em alguns casos, a própria «sandbox» torna-se um alvo.
O fluxo de cinco camadas MetaDefender adota uma abordagem diferente. A Camada 1, Reputação de Ameaças, verifica URLs, endereços IP e domínios em relação a indicadores de comprometimento conhecidos em tempo real. A Camada 2, IA/ML Preditivada Alin e Análise Estática, prevê a natureza maliciosa de ficheiros nunca antes vistos utilizando modelos de aprendizagem automática e análise estática aprofundada, detetando ameaças de dia zero antes de qualquer código ser executado.
A Camada 3, Análise Dinâmica, emula o comportamento das aplicações ao nível das instruções num ambiente isolado que funciona fora do espaço do kernel do anfitrião, numa infraestrutura separada. A Camada 4, Pontuação de Ameaças, correlaciona indicadores comportamentais para obter uma pontuação de risco baseada na confiança, e a Camada 5, Detecção Proativa de Ameaças, associa os resultados ao MITRE ATT&CK e executa uma pesquisa de semelhanças com recurso à aprendizagem automática para identificar famílias de malware e campanhas.
Numa análise confirmada de um «EDR-killer» BYOVD ativo, MetaDefender identificou o kit de ferramentas antes de qualquer componente ter podido ser executado. Um controlador do VirtualBox legitimamente assinado (VBoxDrv.sys) — um controlador de um fornecedor terceiro conhecido por ser vulnerável e frequentemente utilizado para a escalada de privilégios ao nível do kernel — foi classificado como MALICIOSO com total confiança e marcado como BYOVD, juntamente com um segundo controlador malicioso do kernel (Shark.sys) e o carregador (Sea.exe) criado para os implementar.
Uma vez que o veredicto é obtido através de emulação ao nível das instruções numa infraestrutura isolada, mantém-se válido independentemente de um agente de terminal ainda estar ativo no anfitrião. É precisamente essa a situação que o BYOVD foi concebido para eliminar.
Essa separação não implica uma cobertura total; nenhum controlo isolado proporciona isso. Com uma eficácia de deteção de ataques «zero-day» de 99,9% e uma eficiência de recursos 100 vezes superior à do sandboxing baseado em máquinas virtuais, MetaDefender proporciona essa camada de inspeção sem os custos de infraestrutura que tornam os sandboxes tradicionais operacionalmente impraticáveis em grande escala. O objetivo não é substituir a proteção dos terminais. Trata-se de garantir que, quando a proteção dos terminais for contornada, uma camada anterior já tenha cumprido a sua função.
Por que razão a resiliência é uma obrigação de conformidade e não uma preferência de conceção
Para as organizações que operam ao abrigo das normas NIS2, CMMC, NERC CIP ou IEC 62443, a resiliência implica expectativas de controlo definidas, não se limitando apenas à intenção arquitetónica. Estes quadros regulamentares exigem que os sistemas críticos mantenham as suas capacidades de proteção mesmo em condições adversas. É improvável que uma arquitetura em que uma única técnica BYOVD possa desativar um controlo de deteção primário cumpra essas expectativas, especialmente sob escrutínio pós-incidente.
A análise pré-execução, que funciona independentemente do estado do terminal, apoia diretamente estes requisitos de resiliência. Além disso, produz os artefactos que os relatórios de conformidade tendem a exigir: indicadores de comprometimento, TTPs (táticas, técnicas e procedimentos) identificadas e pontuação de risco que as equipas de segurança podem apresentar aos conselhos de administração e às entidades reguladoras como prova de que os controlos em camadas estão a funcionar. Essa prova tem mais peso do que a documentação de controlos que foram implementados, mas que posteriormente foram contornados.
Com a confiança de mais de 2 100 organizações, governos e instituições em todo o mundo, incluindo 98 % das instalações de energia nuclear dos EUA, OPSWAT a sua plataforma em torno de um princípio claro: «Não confie em nenhum ficheiro. Não confie em nenhum dispositivo.™». Esse princípio é exatamente o que os ataques BYOVD exploram quando as organizações o abandonam nos terminais.
Por que razão a velocidade da inspeção determina se isto se mantém em grande escala
A defesa em profundidade permanece teórica se introduzir uma latência que as operações não consigam absorver. Ambientes de elevado débito, como os serviços financeiros, a defesa e as infraestruturas críticas, não podem encaminhar todos os ficheiros através de uma sandbox que demora minutos a emitir um veredicto. Se uma camada de inspeção se tornar um estrangulamento, as equipas contornam-na e a lacuna que se pretendia colmatar volta a abrir-se.
A arquitetura de emulação MetaDefender foi concebida tendo em conta esta limitação. Os requisitos de recursos mais reduzidos, em comparação com o sandboxing baseado em máquinas virtuais, aliados a velocidades de análise 20 vezes superiores às dos sandboxes tradicionais, permitem que a inspeção se adapte aos volumes de ficheiros empresariais em fluxos de e-mail, fluxos de trabalho de transferência de ficheiros geridos e pontos de inspeção de gateway. É essa velocidade que torna a inspeção pré-execução viável como um controlo operacional padrão, em vez de algo utilizado apenas após um incidente.
Uma arquitetura de segurança que se mantém sólida sob pressão costuma ser diferente daquela que funciona apenas no papel. Os autores de ameaças que utilizam técnicas BYOVD aproveitam-se da discrepância entre os controlos documentados e a realidade operacional. Colmatar essa discrepância, colocando a inspeção numa camada a que os ataques ao nível do kernel não conseguem aceder facilmente e executando-a à velocidade que o ambiente exige, é o que faz com que a arquitetura funcione na prática.
As intrusões documentadas esclareceram a questão de saber se o EDR pode ser desativado. É possível, e já foi feito, repetidamente. A questão que permanece é: o que deteta a ameaça antes que esta tenha oportunidade de agir? Veja como MetaDefender oferece uma inspeção pré-execução que funciona independentemente do estado do terminal.
Leitura relacionada
MetaDefender Página do produtoMetaDefender
Artigo relacionado no blogue: O malware evasivo ultrapassou a deteção tradicional baseada em máquinas virtuais
Testemunho de cliente: Instituição financeira global antecipa a proteção contra vulnerabilidades «zero-day» com MetaDefender
Perguntas mais frequentes
O que é um ataque BYOVD?
O BYOVD (Bring Your Own Vulnerable Driver) é uma técnica em que os atacantes carregam um controlador do kernel legítimo, assinado, mas vulnerável, para obter privilégios de Ring 0; em seguida, utilizam esse acesso para encerrar processos de EDR, desativar a telemetria e abrir caminho para uma carga útil de ransomware.
Quantas ferramentas de desativação de EDR utilizam o BYOVD?
De acordo com a ESET, 54 das cerca de 90 ferramentas de desativação de EDR documentadas recorrem ao BYOVD, explorando 35 controladores assinados vulneráveis distintos para obter acesso ao nível do kernel.
Será que a utilização de listas de bloqueio para controladores vulneráveis consegue impedir os ataques BYOVD?
A utilização de listas de bloqueio impede os controladores vulneráveis conhecidos, mas os autores das ameaças alternam para controladores assinados que ainda não constam da lista, e os operadores mais experientes utilizam vulnerabilidades de dia zero em controladores desconhecidos pela Microsoft e pelos fornecedores de EDR, o que contorna totalmente a aplicação das listas de bloqueio.
Por que razão as sandboxes baseadas em máquinas virtuais são vulneráveis à evasão?
As sandboxes baseadas em máquinas virtuais podem ser identificadas, e o malware avançado deteta frequentemente o ambiente virtualizado e suprime o comportamento malicioso para apresentar um veredicto de «limpo», mesmo que o ficheiro não seja inofensivo.
De que forma o sandboxing baseado em emulação resiste ao BYOVD?
O sandboxing baseado em emulação, como MetaDefender , analisa ficheiros numa infraestrutura isolada que funciona fora do espaço do kernel do anfitrião. Um ataque BYOVD que desative o agente EDR do terminal não tem acesso a esse ambiente de análise separado, pelo que a inspeção e a emissão do veredicto prosseguem independentemente do estado do anfitrião.
A inspeção pré-execução substitui o EDR?
Não. O EDR continua a ser um controlo importante na arquitetura global. A inspeção pré-execução acrescenta uma camada que conclui o seu trabalho antes de um atacante ter a oportunidade de desativar os controlos baseados no anfitrião, contribuindo para uma resiliência em camadas, em vez de substituir a proteção dos terminais.
