دستگاه آسیب‌پذیر خود را بیاورید (BYOVD) در امنیت نقطه پایانی در حال حاضر در کانون توجه است. برخی از این هیاهوها به حق است. برخی دیگر اغراق‌آمیز است. این سری به بررسی هر دو جنبه می‌پردازد و شواهد مربوط به هر یک را نشان می‌دهد. این مقاله به بازاری می‌پردازد که در اطراف این تکنیک شکل گرفته است. یک گروه باج‌افزاری اکنون یک "کشتارگر EDR" داخلی را به وابستگان خود ارسال می‌کند، به شیوه‌ای که یک تیم محصول نرم‌افزار را ارسال می‌کند. این گروه کد را حفظ می‌کند. نسخه‌های مختلف را مدیریت می‌کند. ابزارها را به شرکای پرداخت‌کننده با مدل پشتیبانی ارائه می‌دهد. اکنون کشتن دیگر یک مرحله بداهه در یک نفوذ نیست. این یک محصول است و کسی برای آن در دسترس است.
این تغییر مهم است زیرا مشخص می‌کند که شما در واقع با چه کسی می‌جنگید. مدافعان سال‌ها به کشتارگر EDR به عنوان ترفند یک اپراتور تنها نگاه کرده‌اند. تصویر، یک باینری منحصر به فرد بود که توسط هر کسی که پست وبلاگ صحیح را خوانده بود، قاچاق می‌شد. شواهد فعلی به جایی سخت‌تر اشاره می‌کند. کشتن EDR به یک اقتصاد خدمات تبدیل شده است که شامل قیمت‌گذاری، وابستگان و تحقیق و توسعه تحت رهبری اپراتور است.
واضح‌ترین مورد، یک عملیات باج‌افزاری به عنوان خدمات (RaaS) است که تحت نام مستعار اپراتور "hastalamuerte" ردیابی می‌شود. گزارش‌های عمومی تهدید، گروهی را توصیف می‌کند که در اواخر سال 2025 ظاهر شد. این گروه تا سه ماهه اول سال 2026 به پنج گروه برتر باج‌افزاری رسید. پرچمدار آن یک چارچوب کشتارگر EDR است که محققان آن را به عنوان یک الگوی توسعه مشترک توصیف می‌کنند. اپراتورها آن را می‌سازند. وابستگان از آن استفاده می‌کنند.
به ساخت نگاه کنید و واژه "چارچوب" به حق به کار رفته است. محققانی که این گروه را ردیابی می‌کنند، هشت یا بیشتر از انواع مختلف را در این کیت شمارش می‌کنند. هر نوع به یک درایور آسیب‌پذیر خاص مرتبط است، از جمله درایورهایی از NSecsoft، Zemana، Qihoo 360 و Safetica. هر کدام خود را به عنوان یک محصول امنیتی معتبر جا می‌زنند تا در میان بقیه مخلوط شوند. به طور کلی، این انواع بیش از 400 فرآیند را در حدود 48 محصول امنیتی جستجو می‌کنند. آن‌ها از دسترسی به هسته سوءاستفاده می‌کنند تا عوامل نظارتی را که باید در حال نظارت باشند، خاتمه دهند.
جزئیات جعل هویت نشانه‌ای است. محققان دریافتند که هر نوع به عنوان یک محصول امنیتی معتبر متفاوت لباس می‌پوشد و با درایورهایی که سوءاستفاده می‌کند، مطابقت دارد. این یک تصمیم محصول است که به گونه‌ای اتخاذ شده است که کشتار برای مدت طولانی‌تری در پیکربندی‌های بیشتر زنده بماند. یک اپراتور تنها برای قابلیت حمل در میان 48 مدافع طراحی نمی‌کند. یک تأمین‌کننده با مشتریان پرداخت‌کننده این کار را انجام می‌دهد، زیرا قابلیت حمل چیزی است که مشتریان خریداری می‌کنند.
پوشش درایور مانند یک ماتریس سازگاری به نظر می‌رسد. همان گزارش، انواع مختلف را به درایورهایی از NSecsoft، Zemana، Qihoo 360 و Safetica مرتبط می‌کند. هر کدام از طریق تماس‌های کنترل هسته استاندارد بارگذاری می‌شوند. یک فروشنده از بسیاری از فرمت‌های فایل پشتیبانی می‌کند تا محصول بر روی ماشین‌های بیشتری از مشتریان کار کند. این گروه از بسیاری از درایورها پشتیبانی می‌کند تا کشتار بر روی مدافعان بیشتری که مستقر هستند، کار کند. هدف مهندسی یکسان است. حداکثر کردن پایگاه نصب که ابزار می‌تواند بر روی آن کار کند.
این یک خط تولید با اهداف پوشش است. همان گروه همچنین کشتارگران شخص ثالث را در کنار خود ارسال می‌کند. گزارش‌های عمومی نام‌هایی مانند HexKiller، ThrottleBlood و HavocKiller را در همان مجموعه ذکر می‌کنند. همچنین یک دزد اعتبار به نام OxideHarvest را نیز در بر می‌گیرد. این کیت مانند یک کاتالوگ گردآوری شده است.
کاتالوگی با قیمت‌ها
از یک گروه فاصله بگیرید و بازار به وضوح در کانون توجه قرار می‌گیرد. تحقیقات عمومی تهدید، جمعیت بزرگ و در حال رشد کشتارگران EDR در گردش را فهرست می‌کند. این فقط چند باینری هوشمند نیست. این یک موجودی است که به اندازه کافی بزرگ است تا تخصص، فروش مجدد و رقابت بین فروشندگان را پشتیبانی کند.
مقیاس در زیر نشسته است، در درایورهایی که این ابزارها سوءاستفاده می‌کنند. تحقیقات عمومی تهدید، هزاران درایور امضا شده آسیب‌پذیر را فهرست می‌کند که بیشتر آن‌ها بدون حقوق ادمین قابل دسترسی هستند. یک پروژه ردیابی زنده شمارش در حال اجرا این درایورها را عمومی نگه می‌دارد. Cisco Talos یک کشتارگر مرتبط با Qilin را پیدا کرد که بیش از 300 درایور EDR مختلف را در یک ابزار هدف قرار می‌دهد. مواد خام برای این بازار بسیار زیاد است و بیشتر آن بدون دسترسی بالا بارگذاری می‌شود.
چندین از این ابزارها برچسب قیمت دارند. SentinelLABS کشتارگر EDR Terminator را در سال 2023 مستند کرد که توسط یک بازیگر به نام Spyboy فروخته می‌شد. این ابزار بین 300 تا 3000 دلار قیمت داشت و از درایورهای Zemana سوءاستفاده می‌کرد. ابزارهای با قیمت‌گذاری در اینجا تاریخچه طولانی‌تری نسبت به آنچه بیشتر مدافعان فرض می‌کنند، دارند. کشتار سال‌هاست که قیمت فهرستی داشته است. آنچه تغییر کرده است، اندازه قفسه است.
قوی‌ترین شواهد در یک تحقیق SentinelLABS درباره FIN7 قرار دارد. این گروه یک کشتارگر EDR به نام AvNeutralizer، که همچنین به عنوان AuKill شناخته می‌شود، ساخت. این ابزار از درایورهای TTD و Process Explorer سوءاستفاده می‌کرد تا فرآیندهای محافظت شده را خنثی کند. FIN7 سپس آن را در فروم‌های روسی به قیمت 4000 تا 15000 دلار فروخت. همان ابزار توسط Black Basta، AvosLocker، MedusaLocker، BlackCat، Trigona و LockBit پذیرفته شد.
الگوی فروش مجدد کل فرضیه را در یک اثر واحد تشکیل می‌دهد. یک گروه قابلیت را ساخت، سپس آن را به بسیاری از باندهای رقیب اجاره داد. SentinelLABS AvNeutralizer را از یک نویسنده واحد به کیت‌های ابزار نیم دوجین عملیات رقیب ردیابی کرد. کشتار به محض اینکه قیمت و خریدار داشته باشد، به یک ورودی کالایی تبدیل می‌شود. کشتن EDR به صنعتی تبدیل شد که به همان شیوه هر چیز دیگری تبدیل می‌شود. کسی آن را به خوبی ساخت و بقیه بازار خریدند به جای اینکه دوباره بسازند.
زمانی که یک ابزار قیمت دارد، مانند هر قطعه نرم‌افزاری که برای فروش است، رفتار می‌کند. فهرست‌ها خریداران را دلالت می‌کنند. خریداران به بررسی‌ها، فروش مجدد و فشار برای ارسال نسخه بعدی اشاره می‌کنند. یک بازار به ابزارهای فرار همان کاری را می‌کند که با هر چیز دیگری انجام می‌دهد. این محصول را در یک منحنی تقاضا که شما کنترل نمی‌کنید، بهبود می‌بخشد.
به نردبان قیمت نگاه کنید و تقسیم‌بندی واضح می‌شود. یک نقطه ورود 300 دلاری و یک سقف 3000 دلاری برای ابزار Terminator یک هزینه ثابت نیست. این قیمت‌گذاری طبقه‌بندی شده است، نوعی که یک فروشنده زمانی که خریداران در بودجه و نیاز متفاوت هستند، تعیین می‌کند. فاصله 4000 تا 15000 دلاری برای AvNeutralizer در یک طبقه بالاتر قرار دارد. ابزارهای ارزان برای کارهای کم‌خطر، ساخت‌های پریمیوم برای اهداف سخت‌شده. طبقات قیمت نشانه‌ای از بازاری است که از یک فروشنده و یک محصول فراتر رفته است.
قانون نامگذاری سیگنال خاص خود را دارد. فروشندگان کشتارگران خود را برند و نسخه‌بندی می‌کنند، از Terminator تا AvNeutralizer تا EDRKillShifter. شما ابزاری را که قصد دارید یک بار استفاده کنید، نامگذاری و نسخه‌بندی نمی‌کنید. شما آن را نامگذاری می‌کنید زیرا خریداران دوباره از آن درخواست خواهند کرد، آن را توصیه خواهند کرد و با رقبا مقایسه خواهند کرد. قانون نامگذاری یک جزئیات کوچک است.