Négy külön támadást rejthet az „EDR-gyilkos” kifejezés

Az „EDR-gyilkos” nem egyetlen támadást jelent

A SentinelOne 2026. október 19-én közzétett elemzése szerint a „bring your own vulnerable driver”, vagyis BYOVD támadások körüli figyelem részben indokolt, részben túlzó. A vállalat szerint a problémát tovább nehezíti, hogy az „EDR killer” kifejezést négy, egymástól eltérő módszerre használják.

Az első technika egy aláírt, de sérülékeny illesztőprogram betöltése, amelyen keresztül a támadó kernelműveleteket és folyamatleállítást hajt végre. A második egy megbízható telepítő vagy frissítési útvonal kihasználása az EDR-ügynök lecserélésére. A harmadik egy már emelt jogosultságú munkamenet eljuttatása a kernelbe egy ismert résen keresztül. A negyedik a felhasználói térben végrehajtott felfüggesztés vagy szűrés, amely nem érinti a kernelt.

A négy módszer közös célja az EDR működésének akadályozása, a nyomuk és a szükséges telemetria azonban különbözik. A SentinelOne szerint ezért egyetlen, illesztőprogram-betöltésre épülő szabály nem képes mindegyiket észlelni.

Az első vadászat az aláírt, sérülékeny drivereket célozza

A vállalat elsőként a BYOVD-módszer megfigyelését javasolja. Ennek fő jele egy olyan illesztőprogram betöltése, amelynek aláírása nem megbízható vagy korábban nem fordult elő az adott gépen. A Sysmon 6-os eseményazonosítója rögzíti többek között a betöltött képet, a hashértékeket, valamint az aláírás és annak állapotát.

A SentinelOne szerint vizsgálatot indokolhat minden olyan driverbetöltés, amelynél az aláírás állapota nem „Valid”. Külön szabály figyelheti azokat az illesztőprogramokat is, amelyek hashértéke, aláírója vagy verziója először jelenik meg a gazdagépen. Ez utóbbi legitim szoftverfrissítésekre is riaszthat, ezért engedélyezési listára és finomhangolási időszakra lehet szükség.

Az elemzés a POORTRY kernelmódú illesztőprogramot is kiemeli, amelyet biztonsági eszközök leállítására és fájlok törlésére használtak. A SentinelLABS szerint a driver érvényes WHQL-aláírást viselt, amelyet később az ADV220005 számú tájékoztató alapján visszavontak.

A támadási lánc és a kernelből érkező jelek

A legerősebb érzékelés több esemény sorrendjét kapcsolja össze. A dokumentált láncban az sc.exe szolgáltatást hoz létre, ezt szolgáltatástelepítés követi a System 7045-ös eseményében, majd megjelenik a Sysmon 6-os driverbetöltése, egy DeviceIoControl, vagyis IOCTL-hívás, végül a kernel-visszahívások eltávolítása és biztonsági folyamatok leállítása.

A SentinelOne szerint a szolgáltatás létrehozása vagy a driverbetöltés önmagában gyakori lehet, ezek egymáshoz közeli megjelenése, majd az újonnan betöltött driverhez intézett IOCTL már jóval erősebb jel. A vállalat Kasseika, BlackByte és RansomHub kampányait említi példaként. A támadók olykor Windows-frissítésre utaló szolgáltatásneveket használnak, ezért egy „KB” nevű szolgáltatás és egy ismeretlen vagy először látott driver párosa különösen gyanús lehet.

Az admin-to-kernel módszerhez másfajta megfigyelés szükséges. A támadó eltávolíthatja az EDR kernel-visszahívásait, így megszűnhet a várt kerneltelemetria. A SentinelOne egy ismétlődő folyamatleállítási ütemet is fontos jelként ír le: ha egy felhasználói módú komponens újraindul, majd szabályos időközönként ismét leáll, az kernelből érkező beavatkozásra utalhat.

A biztonsági csapatok számára a következtetés az, hogy a négy technikához külön megfigyelési szabályok és telemetriaforrások kellenek. Az illesztőprogramok betöltésére épülő első szabály gyorsan bevezethető, a több eseményt összekapcsoló láncokhoz viszont megbízható eseménysorrend és megfelelő kapcsolási kulcs szükséges.