اجلب برنامج التشغيل القابل للاختراق الخاص بك (BYOVD) يحظى باهتمام كبير في أمان النقاط النهائية. بعض الضجة مستحقة. وبعضها مبالغ فيه. هذه السلسلة تفكك كلا الجانبين وتظهر الأدلة لكل منهما. تتناول هذه المقالة السوق التي نشأت حول هذه التقنية.
تقوم مجموعة فدية الآن بشحن "قاتل EDR" داخلي إلى شركائها بنفس الطريقة التي تشحن بها فرق المنتجات البرمجيات. إنها تحافظ على قاعدة الشيفرة. وتقوم بإصدار النسخ المختلفة. وتسلم الأدوات إلى الشركاء الذين يدفعون مع نموذج دعم خلفها. لم يعد القتل خطوة مرتجلة في عملية الاختراق. إنه منتج، وهناك شخص متاح له.
تغير هذا التحول من هو العدو الذي تقاتله فعليًا. قضى المدافعون سنوات في اعتبار قاتل EDR كخدعة لمشغل منفرد. كانت الصورة عبارة عن ثنائية واحدة، تهرب بها من قرأ المدونة الصحيحة. تشير الأدلة الحالية إلى شيء أكثر تعقيدًا. أصبح قتل EDR اقتصاد خدمة مع تسعير، وشركاء، وبحوث وتطوير يقودها المشغلون.
أوضح حالة هي عملية فدية كخدمة (RaaS) تتبع تحت اسم المشغل "hastalamuerte". تصف التقارير العامة عن التهديدات مجموعة ظهرت في أواخر عام 2025. وصلت إلى أعلى خمس عصابات فدية بحلول الربع الأول من عام 2026. منتجها الرئيسي هو إطار عمل قاتل EDR الذي يصفه الباحثون بأنه قالب تطوير مشترك. يقوم المشغلون ببنائه. يستخدمه الشركاء.
انظر إلى البناء، وستجد أن كلمة "إطار" مستحقة. الباحثون الذين يتتبعون المجموعة يعدون ثمانية أو أكثر من النسخ المختلفة في المجموعة. كل نسخة تتوافق مع برنامج تشغيل قابل للاختراق محدد، بما في ذلك تلك من NSecsoft وZemana وQihoo 360 وSafetica. كل منها تتظاهر بأنها منتج أمان شرعي لتندمج. معًا، تصطاد النسخ أكثر من 400 عملية عبر حوالي 48 منتج أمان. إنها تستغل الوصول إلى النواة لإنهاء الوكلاء الذين يجب أن يكونوا في حالة مراقبة.
تفصيل الانتحال هو الدليل. وجد المحققون أن كل نسخة تتنكر كمنتج أمان شرعي مختلف، متطابقة مع برنامج التشغيل الذي تستغله. هذا قرار منتج، اتخذ حتى يبقى القتل لفترة أطول على تكوينات أكثر. لا يقوم مشغل منفرد بالبناء من أجل قابلية النقل عبر 48 مدافعًا. يقوم المورد الذي لديه عملاء يدفعون بذلك، لأن قابلية النقل هي ما يشتريه العملاء.
تبدو تغطية برنامج التشغيل مثل مصفوفة توافق. تقارير التهديد العامة تربط النسخ الفردية ببرامج التشغيل من NSecsoft وZemana وQihoo 360 وSafetica. كل منها يتم تحميله من خلال مكالمات التحكم القياسية للنواة. يدعم البائع العديد من تنسيقات الملفات حتى يعمل المنتج على المزيد من أجهزة العملاء. تدعم هذه المجموعة العديد من برامج التشغيل حتى يعمل القتل ضد المزيد من المدافعين المنتشرين. النية الهندسية هي نفسها. زيادة قاعدة التثبيت التي يمكن أن يعمل عليها الأداة.
هذه سلسلة منتجات مع أهداف تغطية. تقوم نفس المجموعة أيضًا بشحن قتلة من طرف ثالث جنبًا إلى جنب مع منتجاتها الخاصة. تسمي التقارير العامة HexKiller وThrottleBlood وHavocKiller التي تحمل في نفس المجموعة. كما تجمع أداة سرقة بيانات الاعتماد المسماة OxideHarvest. يتم تنسيق المجموعة مثل كتالوج.
كتالوج بأسعار
تراجع عن مجموعة واحدة وستظهر السوق بوضوح. تسجل أبحاث التهديد العامة عددًا كبيرًا ومتزايدًا من قتلة EDR المتداولة. ليس مجرد عدد قليل من الثنائيات الذكية. إنها جرد، كبير بما يكفي لدعم التخصص وإعادة البيع والمنافسة بين البائعين.
توجد هذه السعة تحت السطح، في برامج التشغيل التي تستغلها هذه الأدوات. تسجل أبحاث التهديد العامة آلاف برامج التشغيل القابلة للاختراق الموقعة، معظمها يمكن الوصول إليه دون حقوق المسؤول. يحتفظ مشروع تتبع مباشر بالعدد الجاري لهذه البرامج. وجدت Cisco Talos قاتلًا مرتبطًا بـ Qilin يستهدف أكثر من 300 برنامج تشغيل EDR مختلف في أداة واحدة. المواد الخام لهذا السوق هائلة، ومعظمها يتم تحميله دون وصول مرتفع.
تحمل العديد من تلك الأدوات تسعيرات. وثقت SentinelLABS قاتل EDR المعروف باسم Terminator في عام 2023، الذي تم بيعه من قبل شخص معروف باسم Spyboy. كانت الأداة تتراوح بين 300 دولار إلى 3000 دولار واستغلت برامج تشغيل Zemana. لقد كانت أدوات التسعير لها تاريخ أطول هنا مما يفترض معظم المدافعين. لقد كان للقتل سعر قائمة لسنوات. ما تغير هو حجم الرف.
توجد أقوى الأدلة في تحقيق SentinelLABS عن FIN7. قامت المجموعة ببناء قاتل EDR يسمى AvNeutralizer، المعروف أيضًا باسم AuKill. استغلت برامج تشغيل TTD وProcess Explorer لتحييد العمليات المحمية. ثم قامت FIN7 ببيعه في المنتديات الروسية مقابل 4000 دولار إلى 15000 دولار. تم اعتماد نفس الأداة من قبل Black Basta وAvosLocker وMedusaLocker وBlackCat وTrigona وLockBit.
تعد هذه النمط من إعادة البيع هو الأطروحة الكاملة في قطعة واحدة. قامت مجموعة واحدة ببناء القدرة، ثم قامت بتأجيرها للعديد من العصابات المتنافسة. تتبع SentinelLABS AvNeutralizer من مؤلف واحد إلى مجموعات أدوات نصف دزينة من العمليات المنافسة. أصبح القتل مدخلًا للسلع في اللحظة التي حصل فيها على سعر ومشتري. تحول قتل EDR إلى صناعة بنفس الطريقة التي يحدث بها أي شيء آخر. قام شخص ما ببنائه بشكل جيد، واشتراها بقية السوق بدلاً من إعادة بنائها.
بمجرد أن يكون للأداة سعر، فإنها تتصرف مثل أي قطعة أخرى من البرمجيات المعروضة للبيع. تشير القوائم إلى المشترين. تشير المشترين إلى المراجعات وإعادة البيع والضغط لشحن النسخة التالية. تفعل السوق لأدوات التهرب ما تفعله مع كل شيء آخر. إنها تحسن المنتج على منحنى الطلب الذي لا تتحكم فيه.
انظر إلى سلم الأسعار وستصبح التقسيمات واضحة. نقطة دخول 300 دولار وسقف 3000 دولار على أداة Terminator ليست رسومًا ثابتة. إنها تسعير متدرج، النوع الذي يحدده البائع عندما يختلف المشترون في الميزانية والاحتياج. يتواجد الفارق من 4000 دولار إلى 15000 دولار على AvNeutralizer في مستوى أعلى. أدوات رخيصة للوظائف ذات المخاطر المنخفضة، وبناءات متميزة للأهداف المحصنة. تعتبر مستويات التسعير علامة على سوق نضجت بعد بائع واحد ومنتج واحد.
تحمل قاعدة التسمية إشارة خاصة بها. يقوم البائعون بتسمية وإصدار قتلتهم، من Terminator إلى AvNeutralizer إلى EDRKillShifter. لا تقوم بتسمية وإصدار أداة تنوي استخدامها مرة واحدة فقط. تسميها لأن المشترين سيطلبونها مرة أخرى، ويوصون بها، ويقارنونها بالمنافسة. تعتبر قاعدة التسمية تفصيلًا صغيرًا.