Представь: ты потратил недели на идеальный имплант — indirect syscalls, обход AMSI, кастомная обфускация. Запускаешь на цели, и через три секунды агент CrowdStrike отправляет алерт в SOC. Payload здесь ни при чём. EDR-драйвер сидит в Ring 0 и видит всё ещё до того, как твой код коснулся
ntdll.dll.🔍 Ответ атакующих прост: спустись на тот же уровень. Именно для этого существует техника BYOVD — Bring Your Own Vulnerable Driver. Берёшь легитимный подписанный драйвер с уязвимостью, грузишь его в ядро через Service Control Manager, получаешь примитив записи в kernel-память — и обнуляешь callback-массивы, которыми EDR отслеживает процессы.
📊 Три года назад это выглядело как экзотика. Сегодня — это конвейер. По данным Cisco Talos и Trend Micro (апрель 2026), ransomware-группировки Qilin и Warlock встроили BYOVD в штатную фазу до шифрования. Они ведут ротируемый пул уязвимых драйверов, мониторят обновления Microsoft Vulnerable Driver Blocklist и переключаются на незаблокированные альтернативы. Их инструментарий заточен на терминацию более 300 endpoint-продуктов до запуска шифрования.
Параллельно исследователи зафиксировали 54 различных EDR-килера, эксплуатирующих 35 подписанных драйверов. Не инциденты — индустрия.
⚙️ Как выглядит цепочка на практике:
1. Атакующий получает локального админа — BYOVD не даёт первоначального доступа, только добивает защиту.
2. Подписанный
.sys кладётся в C:\ProgramData или C:\Windows\Temp.3. Через
sc create с типом kernel драйвер уезжает в Ring 0 — подпись валидна, Windows не возражает.4. Через
DeviceIoControl атакующий получает write-примитив в kernel-памяти.5. Обнуляются адреса в
PspCreateProcessNotifyRoutine и соседних массивах — EDR слепнет.6. Payload разворачивается без помех.
💡 Показательный пример — Dell
dbutil_2_3.sys с CVE-2021-21551, CVSS 8.8. Драйвер для обновления BIOS, но без ACL на device object: любой пользователь шлёт IOCTL и получает чтение/запись ядра. Scope=Changed в CVSS-векторе означает буквально: уязвимость ломает всё за пределами компонента, то есть весь kernel. Попала в каталог CISA KEV — и всё равно активно используется, потому что старые версии драйвера продолжают жить на машинах.🛡 Почему Microsoft Vulnerable Driver Blocklist не спасает? Потому что атакующие мониторят его обновления быстрее, чем он успевает распространиться. Между добавлением драйвера в список и реальным применением политики на конечных точках — окно в недели. А в пуле у атакующих десятки альтернатив.
Детальный разбор примитивов, конкретных IOCTL-кодов и методов детектирования — в полной статье на форуме.
https://codeby.net/threads/byovd-ataka-obkhod-edr-anatomiya-bring-your-own-vulnerable-driver-v-2026-godu.92840/