Dei circa 90 “EDR killer” documentati e attivamente utilizzati in ambiente reale, 54 si basano sulla stessa tecnica di fondo: BYOVD. Viene caricato un driver del kernel, legittimamente firmato ma vulnerabile, che viene poi sfruttato per ottenere l’accesso a livello di kernel. Da lì, gli aggressori possono terminare l’agente EDR oppure rimuovere i callback e i provider ETW (Event Tracing for Windows) prima che venga attivato qualsiasi payload del ransomware. Si tratta di una strategia operativa documentata attualmente utilizzata dagli aggressori che prendono di mira gli ambienti aziendali.
Nel luglio 2026, i ricercatori hanno documentato l’operazione del ransomware GodDamn, che rappresenta un rebranding del gruppo Hyadina (ransomware-as-a-service), il quale caricava il driver PoisonX firmato per terminare i processi di sicurezza e rimuovere API in modalità utente prima di distribuire il proprio payload. Le intrusioni hanno seguito il copione completo: AnyDesk per l’accesso remoto, un toolkit basato su NirSoft per la raccolta delle credenziali e infine l’interruzione dei processi a livello di kernel contro obiettivi statunitensi nei settori sanitario, manifatturiero e dell’istruzione.
Per i responsabili della sicurezza, il fenomeno “Bring Your Own Vulnerable Driver” (BYOVD) è ormai ben oltre qualcosa che si possa risolvere semplicemente con delle patch. Esso evidenzia un problema di fiducia più profondo a livello architetturale, legato al modo in cui Windows gestisce i driver del kernel firmati e ai presupposti su cui si basa tale modello. Qualsiasi risposta efficace deve partire da una chiara comprensione di come il fenomeno BYOVD influisca sui controlli su cui ci si affida.
TL;DR: Punti chiave
- Una ricerca condotta da ESET ha rilevato che 54 dei quasi 90 strumenti noti per aggirare i sistemi EDR utilizzano BYOVD, sfruttando 35 diversi driver firmati vulnerabili per ottenere l'accesso a livello di kernel
- BYOVD consente agli autori degli attacchi di terminare i processi EDR, annullare la registrazione dei callback del kernel e disabilitare la telemetria prima ancora che il payload del ransomware venga eseguito
- La difesa a più livelli fallisce quando ogni livello gira sullo stesso sistema operativo host; la compromissione di un singolo kernel può rendere inoperativo l'intero stack in un colpo solo
- Il sandboxing basato sull'emulazione analizza i file su un'infrastruttura isolata al di fuori dello spazio del kernel dell'host, pertanto un agente EDR disabilitato non può impedire l'emissione di un verdetto
- MetaDefender garantisce un'efficacia di rilevamento degli attacchi zero-day pari al 99,9% a una velocità 20 volte superiore rispetto alle sandbox tradizionali, con un'efficienza delle risorse 100 volte maggiore rispetto agli approcci basati su macchine virtuali
- Standard quali NIS2, CMMC, NERC CIP e IEC 62443 richiedono che le capacità di protezione rimangano efficaci anche in condizioni avverse, requisito che un singolo controllo con la funzione BYOVD disattivata non è in grado di soddisfare
- In un'analisi confermata di un toolkit BYOVD attivo, i file VBoxDrv.sys e Shark.sys sono stati identificati come MALIZIOSI prima ancora che qualsiasi componente potesse essere eseguito, a dimostrazione del fatto che tale tecnica è attualmente in uso contro obiettivi statunitensi
Che cos’è un attacco BYOVD e in che modo disattiva l’EDR?
La tecnica in sé non è complessa da eseguire, ma le sue conseguenze sono difficili da contenere. Una volta che un aggressore opera a livello di kernel, il rilevamento comportamentale fallisce perché il sensore non è più presente. Anche i componenti di scansione e rilevamento dell’EDR falliscono per lo stesso motivo, e l’ipotesi che gli strumenti di rilevamento siano presenti e funzionanti nel momento più critico inizia a vacillare.
Secondo ESET, 54 dei quasi 90 strumenti “killer” per EDR documentati dall’azienda utilizzano specificatamente la tecnica BYOVD proprio perché è affidabile, sfruttando in totale 35 driver vulnerabili. Il ricercatore di ESET Jakub Souček ha osservato che gli operatori di ransomware-as-a-service producono frequentemente nuove versioni del programma di crittografia, e gli strumenti “killer” basati su BYOVD consentono loro di mantenere tale programma semplice e non rilevabile, mentre un componente separato si occupa di eludere i sistemi di difesa.
L'utilizzo da parte del gruppo Hyadina di PoisonX, un driver del kernel pubblicato su GitHub come strumento di ricerca e poi impiegato poche settimane dopo in attacchi ransomware reali, dimostra con quanta rapidità questi strumenti passino dalla fase di proof-of-concept all'implementazione operativa. La strategia "prima neutralizzare le difese, poi crittografare" non è più una tecnica riservata solo agli operatori più esperti.
I responsabili della sicurezza dovrebbero intrattenere un dialogo più diretto con i propri consigli di amministrazione su ciò che ciò comporta. L’EDR rimane un controllo fondamentale, ma considerarlo come l’ultima linea di difesa sta diventando sempre più difficile da giustificare.
Perché la strategia di difesa a più livelli fallisce contro il BYOVD
La difesa a più livelli presuppone che nessun singolo controllo funga da ultima linea di difesa e che l'architettura tenga conto della possibilità che un singolo livello possa fallire. In pratica, molte organizzazioni implementano più strumenti per gli endpoint che condividono la stessa dipendenza di base: il sistema operativo host. Se tale sistema operativo viene compromesso a livello di kernel, l'intero stack può essere esposto in un colpo solo.
Il problema fondamentale è la superficie di attacco condivisa, non il numero di strumenti implementati. Un aggressore in grado di sfruttare il modello BYOVD non ha bisogno di aggirare ogni singolo controllo. Il caricamento e lo sfruttamento di un driver vulnerabile per l’esecuzione a livello di kernel consentono all’aggressore di annullare la registrazione dei callback EDR e di terminare i processi dell’agente prima che il sistema di rilevamento residente sull’host abbia una possibilità concreta di reagire.
L'inserimento dei driver vulnerabili nella lista di blocco è un passo necessario, ma presenta un problema di ritardo strutturale. Come spiega Brigid O Gorman, ricercatrice di Symantec, in genere intercorre un intervallo di giorni, o più spesso di settimane, tra l’identificazione di un driver e l’aggiornamento della lista di blocco che raggiunge gli endpoint aziendali. In altre parole, gli autori degli attacchi agiscono sistematicamente più rapidamente rispetto all’aggiornamento della lista. PoisonX è stato reso pubblico nell’aprile 2026 ed è stato utilizzato in un attacco ransomware effettivo già a luglio. Gli autori degli attacchi che sono a conoscenza dell’esistenza di questa finestra temporale continueranno a sfruttarla.
Per colmare questa lacuna è necessaria un’analisi che operi al di fuori della superficie di attacco presa di mira da BYOVD: spostare determinati tipi di ispezione delle minacce dall’endpoint verso un livello isolato, non raggiungibile da una compromissione a livello di kernel, per valutare i file prima della loro esecuzione. A quel punto, il dibattito sull’architettura si sposta dal rafforzamento degli endpoint all’ispezione pre-esecuzione.
In che modo il sandboxing basato sull’emulazione analizza i file al di fuori della “kill zone”
«Gli EDR Killer non riescono a superare in astuzia il sensore, ma semplicemente lo rimuovono, e tutto ciò che dipende da esso viene eliminato di conseguenza», afferma Jack Madine, Senior Product Manager di OPSWAT.MetaDefender colma questa lacuna completando l’analisi prima ancora che il file raggiunga l’host che potrebbe compromettere».
MetaDefender è il motore decisionale basato su intelligenza artificiale OPSWAT per il rilevamento degli attacchi zero-day sul perimetro di rete, realizzato tramite emulazione delle applicazioni anziché tramite le tradizionali macchine virtuali. Questa differenza è direttamente rilevante per il modello BYOVD, poiché l’ambiente di analisi non dipende mai dallo stato di salute dell’endpoint che sta proteggendo.
È possibile identificare le sandbox basate su macchine virtuali. Il malware più sofisticato spesso rileva gli ambienti virtualizzati e sopprime il comportamento dannoso, generando risultati negativi per file che in realtà non sono innocui. L’infrastruttura delle macchine virtuali introduce inoltre una propria superficie di attacco che gli aggressori determinati possono sondare o eludere; in alcuni casi, la sandbox stessa diventa un bersaglio.
La pipeline a cinque livelli MetaDefender adotta un approccio diverso. Il Livello 1, “Threat Reputation”, verifica in tempo reale URL, indirizzi IP e domini confrontandoli con indicatori di compromissione noti. Il Livello 2, “PredictiveAI/ML & Static Analysis”, prevede la natura dannosa di file mai visti prima utilizzando modelli di apprendimento automatico e un’analisi statica approfondita, individuando le minacce zero-day prima che il codice venga eseguito.
Il Livello 3, Analisi dinamica, emula il comportamento delle applicazioni a livello di istruzione all’interno di un ambiente isolato che opera al di fuori dello spazio del kernel dell’host, su un’infrastruttura separata. Il Livello 4, Valutazione delle minacce, correla gli indicatori comportamentali per ottenere un punteggio di rischio basato sul livello di affidabilità, mentre il Livello 5, Ricerca delle minacce, mappa i risultati al framework MITRE ATT&CK ed esegue ricerche di similarità basate sull’apprendimento automatico per individuare famiglie di malware e campagne.
In un'analisi confermata di un EDR-killer BYOVD attivo, MetaDefender ha segnalato il toolkit prima che qualsiasi componente potesse essere eseguito. Un driver VirtualBox firmato in modo legittimo (VBoxDrv.sys) — un driver di terze parti noto per essere vulnerabile e comunemente utilizzato per l’escalation dei privilegi a livello di kernel — è stato classificato come MALIZIOSO con un livello di confidenza massimo e contrassegnato come BYOVD, insieme a un secondo driver del kernel dannoso (Shark.sys) e al loader (Sea.exe) creato per distribuirli.
Poiché il verdetto viene generato tramite emulazione a livello di istruzione su un'infrastruttura isolata, esso rimane valido indipendentemente dal fatto che l'agente dell'endpoint sia ancora attivo sull'host. Questa è esattamente la condizione che BYOVD è stato progettato per eliminare.
Tale separazione non implica una copertura completa; nessun singolo controllo è in grado di garantirla. Con un’efficacia di rilevamento degli attacchi zero-day del 99,9% e un’efficienza delle risorse 100 volte superiore rispetto al sandboxing basato su VM, MetaDefender fornisce quel livello di ispezione senza l’onere infrastrutturale che rende i sandbox tradizionali operativamente impraticabili su larga scala. L’obiettivo non è sostituire la protezione degli endpoint, ma garantire che, qualora tale protezione venisse aggirata, un livello precedente abbia già svolto il proprio compito.
Perché la resilienza è un obbligo di conformità e non una scelta progettuale
Per le organizzazioni che operano in conformità con NIS2, CMMC, NERC CIP o IEC 62443, la resilienza comporta aspettative di controllo ben definite, non solo un intento architettonico. Questi quadri normativi richiedono che i sistemi critici mantengano le proprie capacità di protezione anche in condizioni avverse. È improbabile che un’architettura in cui una singola tecnica BYOVD possa disabilitare un controllo di rilevamento primario soddisfi tali aspettative, specialmente in caso di analisi post-incidente.
L’analisi pre-esecuzione, che opera indipendentemente dallo stato degli endpoint, supporta direttamente questi requisiti di resilienza. Inoltre, produce gli elementi che la rendicontazione di conformità tende a richiedere: indicatori di compromissione, TTP (tattiche, tecniche e procedure) identificate e punteggi di rischio che i team di sicurezza possono presentare ai consigli di amministrazione e alle autorità di regolamentazione come prova dell’efficacia dei controlli a più livelli. Tali prove hanno un peso maggiore rispetto alla documentazione relativa a controlli che sono stati implementati ma successivamente aggirati.
Scelta da oltre 2.100 organizzazioni, governi e istituzioni in tutto il mondo, tra cui il 98% degli impianti nucleari statunitensi, OPSWAT sviluppato la propria piattaforma sulla base di un principio chiaro: “Trust no file. Trust no device.™” (Non fidarti di nessun file. Non fidarti di nessun dispositivo.). È proprio questo principio che gli attacchi BYOVD sfruttano quando le organizzazioni lo trascurano a livello di endpoint.
Perché la velocità di ispezione determina se questo approccio regge su larga scala
La difesa a più livelli rimane un concetto teorico se introduce una latenza che le operazioni non sono in grado di assorbire. Gli ambienti ad alta produttività, come i servizi finanziari, la difesa e le infrastrutture critiche, non possono far passare ogni file attraverso una sandbox che impiega diversi minuti per fornire un verdetto. Se un livello di ispezione diventa un collo di bottiglia, i team lo aggirano e la lacuna che avrebbe dovuto colmare si riapre.
L'architettura di emulazione MetaDefender è stata progettata proprio tenendo conto di questo vincolo. I requisiti di risorse inferiori rispetto al sandboxing basato su macchine virtuali, uniti a velocità di analisi 20 volte superiori rispetto ai sandbox tradizionali, consentono di estendere l'ispezione ai volumi di file aziendali presenti nelle pipeline di posta elettronica, nei flussi di lavoro di trasferimento file gestito e nei punti di ispezione dei gateway. È proprio questa velocità a rendere l'ispezione pre-esecuzione una soluzione praticabile come controllo operativo standard, anziché un'operazione da utilizzare solo a seguito di un incidente.
Un'architettura di sicurezza che regge sotto pressione spesso si presenta in modo diverso da quella che funziona solo sulla carta. Gli autori delle minacce che utilizzano tecniche BYOVD sfruttano il divario esistente tra i controlli documentati e la realtà operativa. Colmare tale divario, collocando i controlli in un livello che gli attacchi a livello di kernel non possono raggiungere facilmente ed eseguendoli alla velocità richiesta dall'ambiente, è ciò che permette all'architettura di funzionare nella pratica.
Le intrusioni documentate hanno chiarito se sia possibile disattivare l’EDR. È possibile, ed è già stato fatto più volte. La domanda che rimane è: chi rileva la minaccia prima che questa abbia modo di agire? Scopri come MetaDefender offre un’ispezione pre-esecuzione che opera indipendentemente dallo stato dell’endpoint.
Approfondimenti
MetaDefender Pagina del prodottoMetaDefender
Articolo correlato: Il malware evasivo ha superato i limiti del rilevamento tradizionale basato su macchine virtuali
Testimonianza di un cliente: un istituto finanziario globale anticipa la protezione contro gli attacchi zero-day con MetaDefender
Domande frequenti
Che cos’è un attacco BYOVD?
Il BYOVD (Bring Your Own Vulnerable Driver) è una tecnica in cui gli aggressori caricano un driver del kernel legittimo, firmato ma vulnerabile, per ottenere privilegi di Ring 0; successivamente utilizzano tale accesso per terminare i processi EDR, disabilitare la telemetria e spianare la strada al payload del ransomware.
Quanti strumenti di tipo “EDR killer” utilizzano BYOVD?
Secondo ESET, 54 dei quasi 90 strumenti di tipo “EDR killer” documentati si avvalgono di BYOVD, sfruttando 35 diversi driver firmati vulnerabili per ottenere l’accesso a livello di kernel.
L'inserimento dei driver vulnerabili nella lista di blocco può fermare gli attacchi BYOVD?
L'inserimento nella lista di blocco blocca i driver noti per essere vulnerabili, ma gli autori delle minacce passano a driver firmati non ancora presenti nell'elenco, mentre gli operatori più esperti sfruttano vulnerabilità zero-day nei driver sconosciuti a Microsoft e ai fornitori di soluzioni EDR, aggirando completamente l'applicazione della lista di blocco.
Perché le sandbox basate su VM sono vulnerabili all'elusione?
È possibile identificare le sandbox basate su VM, e il malware avanzato spesso rileva l'ambiente virtualizzato e sopprime il comportamento dannoso per produrre un verdetto "pulito", anche se il file non è innocuo.
In che modo il sandboxing basato sull'emulazione resiste agli attacchi BYOVD?
Il sandboxing basato sull'emulazione, come MetaDefender , analizza i file su un'infrastruttura isolata che opera al di fuori dello spazio del kernel dell'host. Un attacco BYOVD che disabilita l'agente EDR dell'endpoint non ha alcuna via d'accesso a quell'ambiente di analisi separato, pertanto l'ispezione e l'emissione del verdetto proseguono indipendentemente dallo stato dell'host.
L'ispezione pre-esecuzione sostituisce l'EDR?
No. L'EDR rimane un controllo importante nell'architettura complessiva. L'ispezione pre-esecuzione aggiunge un livello che completa il proprio lavoro prima che un aggressore abbia la possibilità di disabilitare i controlli basati sull'host, favorendo una resilienza a più livelli piuttosto che sostituire la protezione degli endpoint.
