EDR Killers: Como o Ransomware Desativa sua Segurança de Endpoint

A técnica dominante por trás dos EDR killers modernos é o BYOVD — Bring Your Own Vulnerable Driver, “traga seu próprio driver vulnerável” — na qual os atacantes carregam um driver de kernel legitimamente assinado, porém falho, para obter o acesso em nível de kernel necessário para encerrar o software de segurança. Veja como se desenrola um ataque BYOVD típico:

1. Obter privilégios. O atacante primeiro consegue direitos de administrador, muitas vezes por meio de credenciais roubadas, uma vulnerabilidade sem correção ou um serviço de acesso remoto exposto.
2. Instalar um driver vulnerável. Ele instala um driver de kernel assinado que se sabe conter uma falha. Como o driver tem uma assinatura digital válida, o Windows o carrega sem objeções.
3. Explorar o driver para alcançar o kernel. A falha concede execução em nível de kernel: a camada mais privilegiada do sistema operacional, acima de onde a maioria dos agentes de segurança opera.
4. Encerrar ou desconectar o EDR. A partir do kernel, a ferramenta mata processos do EDR, cancela os callbacks do kernel ou impede que o agente reporte, desativando sistematicamente os produtos de segurança.
5. Implantar o criptografador. Com as defesas cegas, o ransomware é executado sem oposição.

A técnica tornou-se mais eficiente. No início de 2026, uma família de ransomware embutiu um driver vulnerável diretamente em sua carga, eliminando a etapa de entrega separada e reduzindo ainda mais a janela de detecção. Dois grupos ativos refinaram uma evasão em nível de kernel capaz de desativar mais de 300 produtos de segurança de endpoint antes de criptografar um único arquivo. Defender-se disso exige uma gestão disciplinada de TI e de patches para remover os drivers vulneráveis conhecidos, combinada com um monitoramento que não resida inteiramente no endpoint atacado.

As organizações que resistem aos ataques de EDR killers não são as que têm um único agente de ponta — são as que possuem defesas em camadas, monitoradas de forma independente, que continuam funcionando mesmo quando um controle é desativado. Construir essa resiliência traz benefícios de negócio concretos.

O primeiro é a continuidade da detecção. Quando a telemetria do endpoint é complementada por monitoramento baseado em rede e identidade por meio de um serviço de detecção e resposta gerenciada, desativar o agente de endpoint já não cega toda a operação. Os analistas ainda conseguem identificar a escalada de privilégios, o carregamento do driver ou o tráfego leste-oeste incomum que precede a criptografia.

O segundo é uma contenção mais rápida. Um MDR de alta qualidade apoiado por inteligência de ameaças atualizada permite reconhecer os EDR killers específicos em uso e responder em minutos, e não em horas — a diferença entre um incidente isolado e uma interrupção em toda a empresa.

O terceiro é a recuperabilidade. Até mesmo uma criptografia bem-sucedida é superável quando existem backups imutáveis e isolados que o ransomware não pode alcançar nem alterar, e quando os sistemas críticos estão segmentados para que uma invasão em uma zona não se espalhe livremente. Juntos, esses controles convertem um evento potencialmente catastrófico em um evento contido e recuperável, protegendo a receita, a reputação e a conformidade regulatória em toda a empresa.

Um quarto benefício, muitas vezes negligenciado, é maior conformidade e segurabilidade. Reguladores e seguradoras de risco cibernético exigem cada vez mais evidências documentadas de monitoramento contínuo, backups testados regularmente e uma capacidade de resposta rápida a incidentes. Uma arquitetura que assume que qualquer controle individual pode falhar — e que comprovadamente continua detectando quando isso acontece — é muito mais fácil de sustentar em uma auditoria e pode melhorar de forma significativa as condições oferecidas à organização na renovação.

Com mais de 30 anos de experiência entregando conectividade e segurança empresarial na América Latina, nos Estados Unidos e na Europa, a HIT Communications ajuda as organizações a construir defesas que não dependem de um único ponto de falha. Nossos serviços de cibersegurança combinam um Centro de Operações de Segurança 24/7, correlação baseada em SIEM e Detecção e Resposta Gerenciada, para que atividades suspeitas de kernel, abuso de credenciais e movimento lateral sejam detectados mesmo quando um agente de endpoint está sob ataque.

Como o ransomware raramente respeita a fronteira entre a rede e o endpoint, a HIT integra a segurança com conectividade gerenciada e segmentação e com serviços de TI gerenciados e backup em nuvem resilientes. O resultado é uma defesa em profundidade: camadas independentes de visibilidade e controle que dão à sua equipe o tempo e as informações para responder antes que uma invasão se torne uma crise. Para empresas que operam em várias regiões e regimes regulatórios, esse modelo de suporte unificado e multilíngue transforma uma postura de segurança fragmentada em uma postura coordenada.

Os EDR killers deixaram uma coisa clara: uma estratégia de segurança que se apóia em um único agente de endpoint é uma estratégia com um botão de desligar embutido. À medida que as técnicas BYOVD se tornam equipamento padrão das operações de ransomware, a resiliência depende hoje de detecção em camadas, gestão disciplinada de patches e drivers, backups isolados e monitoramento humano contínuo capaz de enxergar um ataque mesmo quando o endpoint se apaga.

A boa notícia é que essas defesas são bem compreendidas e totalmente alcançáveis com o parceiro certo. Se a sua organização deseja avaliar o quão exposta está ao ransomware com EDR killers e BYOVD — e com que rapidez suas ferramentas atuais detectariam a desativação de suas defesas — entre em contato com a HIT Communications para falar com nossa equipe de segurança e construir uma defesa em camadas que continue funcionando quando mais importa.