Принеси своего уязвимого драйвера (BYOVD) сейчас на слуху в области безопасности конечных точек. Часть шума оправдана. Часть — преувеличена. Эта серия разбирает оба аспекта и показывает доказательства для каждого. В этой статье рассматривается рынок, который возник вокруг этой техники.
Группа-вымогатель теперь поставляет собственный "убийцу EDR" своим партнёрам так же, как команда разработчиков поставляет программное обеспечение. Она поддерживает кодовую базу. Она версионирует варианты. Она передаёт инструменты платным партнёрам с моделью поддержки за её спиной. Убийство больше не является импровизированным шагом во время вторжения. Это продукт, и кто-то отвечает за него.
Этот сдвиг важен, потому что он меняет то, с кем вы на самом деле боретесь. Защитники много лет считали убийцу EDR трюком одиночного оператора. Картина была такой: одноразовый бинарный файл, контрабандой ввезённый тем, кто прочитал правильный блог. Текущие доказательства указывают на что-то более сложное. Убийство EDR стало экономикой услуг с ценообразованием, партнёрами и научно-исследовательскими работами, возглавляемыми операторами.
Самый ясный случай — это операция "вымогательство как услуга" (RaaS), отслеживаемая под псевдонимом оператора "hastalamuerte". Публичные отчёты о угрозах описывают группу, которая появилась в конце 2025 года. Она вошла в пятёрку лучших групп-вымогателей к первому кварталу 2026 года. Её флагманом является фреймворк убийцы EDR, который исследователи описывают как общий шаблон разработки. Операторы создают его. Партнёры используют его.
Посмотрите на сборку, и слово "фреймворк" становится оправданным. Исследователи, отслеживающие группу, насчитывают восемь или более вариантов в комплекте. Каждый вариант соответствует конкретному уязвимому драйверу, включая драйверы от NSecsoft, Zemana, Qihoo 360 и Safetica. Каждый из них выдает себя за легитимный продукт безопасности, чтобы слиться с окружением. Вместе варианты охотятся на более чем 400 процессов в примерно 48 продуктах безопасности. Они злоупотребляют доступом к ядру, чтобы завершить работу агентов, которые должны следить.
Детали подделки — это явный признак. Следователи обнаружили, что каждый вариант маскируется под другой легитимный продукт безопасности, соответствующий драйверу, который он эксплуатирует. Это решение по продукту, принятое для того, чтобы убийство дольше сохранялось на большем количестве конфигураций. Одиночный оператор не разрабатывает для портативности среди 48 защитников. Поставщик с платными клиентами делает это, потому что портативность — это то, что покупают клиенты.
Покрытие драйверов читается как матрица совместимости. Те же отчёты сопоставляют отдельные варианты с драйверами от NSecsoft, Zemana, Qihoo 360 и Safetica. Каждый загружается через стандартные вызовы управления ядром. Поставщик поддерживает множество форматов файлов, чтобы продукт работал на большем количестве машин клиентов. Эта группа поддерживает множество драйверов, чтобы убийство работало против большего числа развернутых защитников. Инженерная цель остается той же. Максимизировать базу установки, на которой инструмент может работать.
Это линия продуктов с целями покрытия. Эта же группа также поставляет сторонние убийцы наряду со своими собственными. Публичные отчёты упоминают HexKiller, ThrottleBlood и HavocKiller, входящие в тот же пакет. Она также включает в себя кражу учётных данных под названием OxideHarvest. Комплект курируется как каталог.
Каталог с ценами
Отступите от одной группы, и рынок становится более ясным. Публичные исследования угроз каталогизируют большую и растущую популяцию убийц EDR в обращении. Это не несколько хитроумных бинарников. Это инвентаризация, достаточно большая, чтобы поддерживать специализацию, перепродажу и конкуренцию между продавцами.
Масштаб лежит в основе, в драйверах, которые эти инструменты эксплуатируют. Публичные исследования угроз каталогизируют тысячи уязвимых подписанных драйверов, большинство из которых доступны без прав администратора. Живой проект отслеживания поддерживает текущий подсчет этих драйверов в открытом доступе. Cisco Talos обнаружила единственного убийцу, связанного с Qilin, который нацеливается на более чем 300 различных драйверов EDR в одном инструменте. Сырьё для этого рынка огромно, и большинство из него загружается без повышенного доступа.
Несколько из этих инструментов имеют ценники. SentinelLABS задокументировала убийцу EDR под названием Terminator в 2023 году, проданного актёром, известным как Spyboy. Инструмент стоил от 300 до 3000 долларов и эксплуатировал драйверы Zemana. Ценовые инструменты имеют более длинную историю здесь, чем предполагают большинство защитников. Убийство имело розничную цену на протяжении многих лет. Что изменилось, так это размер полки.
Самые сильные доказательства находятся в расследовании SentinelLABS о FIN7. Группа создала убийцу EDR под названием AvNeutralizer, также известного как AuKill. Он эксплуатировал драйверы TTD и Process Explorer, чтобы нейтрализовать защищённые процессы. Затем FIN7 продала его на российских форумах за 4000–15000 долларов. Тот же инструмент был принят Black Basta, AvosLocker, MedusaLocker, BlackCat, Trigona и LockBit.
Этот паттерн перепродажи — это вся теза в одном артефакте. Одна группа создала возможность, а затем сдала её в аренду многим конкурирующим бандитам. SentinelLABS проследила AvNeutralizer от одного автора до инструментов полудюжины соперничающих операций. Убийство стало товаром в тот момент, когда у него появилась цена и покупатель. Убийство EDR превратилось в индустрию так же, как и всё остальное. Кто-то создал это хорошо, а остальной рынок купил, а не перестраивал.
Как только инструмент имеет цену, он ведёт себя как любой другой программный продукт на продажу. Объявления подразумевают покупателей. Покупатели подразумевают отзывы, перепродажу и давление на выпуск следующей версии. Рынок делает с инструментами уклонения то, что он делает со всем остальным. Он улучшает продукт по кривой спроса, которую вы не контролируете.
Посмотрите на ценовую лестницу, и сегментация становится очевидной. Входная точка в 300 долларов и потолок в 3000 долларов для инструмента Terminator — это не фиксированная плата. Это многоуровневая цена, которую устанавливает поставщик, когда покупатели различаются по бюджету и потребностям. Разброс от 4000 до 15000 долларов для AvNeutralizer находится на уровне выше. Дешёвые инструменты для низкостепенных задач, премиум-сборки для защищённых целей. Ценовые уровни — это признак рынка, который созрел за пределами одного продавца и одного продукта.
Конвенция наименования несёт в себе свой собственный сигнал. Продавцы брендуют и версионируют своих убийц, от Terminator до AvNeutralizer до EDRKillShifter. Вы не называете и не версионируете инструмент, который собираетесь использовать один раз. Вы называете его, потому что покупатели будут запрашивать его снова, рекомендовать его и сравнивать с конкурентами. Конвенция наименования — это небольшая деталь.