自带易受攻击驱动程序（BYOVD）在终端安全中正引起关注。部分热议是有根据的，部分则被夸大了。这个系列将解构两者，并展示每种情况的证据。本文关注围绕这一技术发展起来的市场。
一个勒索软件团队现在像产品团队发布软件一样，将内部的“EDR 杀手”交给其附属机构。它维护代码库，版本化变体，并将工具交给付费合作伙伴，并提供支持模型。杀戮不再是入侵中的即兴步骤，而是一种产品，并且有人为其提供支持。这一转变很重要，因为它改变了你实际上在与谁作斗争。防御者多年来一直将 EDR 杀手视为孤独操作员的把戏。最初的印象是一个一次性的二进制文件，由阅读了正确博客文章的任何人走私进来。目前的证据指向更复杂的情况。EDR 杀戮已成为一种服务经济，拥有定价、附属机构和运营商主导的研发。
最清晰的案例是一个以运营商别名“hastalamuerte”追踪的勒索软件即服务（RaaS）操作。公开的威胁报告描述了一个在 2025 年底出现的团队。到 2026 年第一季度，它已跻身前五大勒索软件团伙。其旗舰产品是一个 EDR 杀手框架，研究人员将其描述为共享开发模板。运营商构建它，附属机构使用它。
看看这个构建，"框架"这个词是实至名归的。追踪该团队的研究人员在工具包中发现了八个或更多变体。每个变体对应一个特定的易受攻击驱动程序，包括来自 NSecsoft、Zemana、奇虎 360 和 Safetica 的驱动程序。每个变体都伪装成合法的安全产品，以便融入其中。所有变体共同猎杀超过 400 个进程，涉及大约 48 种安全产品。它们滥用内核访问权限来终止本应监视的代理。
伪装的细节是关键。调查人员发现每个变体都伪装成不同的合法安全产品，匹配其滥用的驱动程序。这是一个产品决策，旨在使杀戮在更多配置上存活更长时间。孤独的操作员不会为 48 个防御者的可移植性而构建。拥有付费客户的供应商会这样做，因为可移植性是客户所购买的。
驱动程序覆盖情况就像兼容性矩阵。相同的报告将单个变体映射到来自 NSecsoft、Zemana、奇虎 360 和 Safetica 的驱动程序。每个驱动程序通过标准内核控制调用加载。一个供应商支持多种文件格式，以便产品可以在更多客户机器上运行。该团队支持多种驱动程序，以便杀戮可以对更多已部署的防御者生效。工程意图是相同的。最大化工具可以操作的安装基础。
这是一个具有覆盖目标的产品线。相同的团队还同时发布第三方杀手和自己的产品。公开报告提到 HexKiller、ThrottleBlood 和 HavocKiller 被包含在同一套件中。它还捆绑了一个名为 OxideHarvest 的凭证窃取工具。该工具包像目录一样被策划。
一个带有价格的目录
从一个团队退后一步，市场变得清晰。公开的威胁研究列出了一个庞大且不断增长的 EDR 杀手流通人口。这不仅仅是少数聪明的二进制文件，而是一个足够大的库存，支持专业化、转售和卖家之间的竞争。
规模在于这些工具滥用的驱动程序。公开的威胁研究列出了数千个易受攻击的签名驱动程序，大多数可以在没有管理员权限的情况下访问。一个实时跟踪项目保持这些驱动程序的公开计数。Cisco Talos 发现一个与 Qilin 相关的杀手，针对超过 300 种不同的 EDR 驱动程序。这个市场的原材料是巨大的，其中大多数可以在没有提升访问权限的情况下加载。
其中几个工具有价格标签。SentinelLABS 在 2023 年记录了由一个名为 Spyboy 的演员出售的 Terminator EDR 杀手。该工具的售价在 300 到 3000 美元之间，滥用 Zemana 驱动程序。定价工具在这里的历史比大多数防御者假设的要长。杀戮多年来一直有标价。改变的是货架的大小。
最有力的证据来自于对 FIN7 的 SentinelLABS 调查。该团队构建了一个名为 AvNeutralizer（也称为 AuKill）的 EDR 杀手。它滥用 TTD 和 Process Explorer 驱动程序来中和受保护的进程。FIN7 然后在俄罗斯论坛上以 4000 到 15000 美元的价格出售它。相同的工具被 Black Basta、AvosLocker、MedusaLocker、BlackCat、Trigona 和 LockBit 采用。
这种转售模式是一个文物中的整个论点。一个团队构建了这一能力，然后将其租赁给许多竞争团伙。SentinelLABS 将 AvNeutralizer 从单一作者追踪到六个竞争操作的工具包中。杀戮在有了价格和买家那一刻就成为了一种商品输入。EDR 杀戮以与任何事物相同的方式变成了一个行业。有人构建得很好，其余市场选择购买而不是重建。
一旦工具有了价格，它就像任何其他待售软件一样运作。列表暗示了买家。买家暗示了评论、转售和对发布下一个版本的压力。市场对规避工具的影响与对其他所有事物相同。它在你无法控制的需求曲线上改善产品。
看看价格阶梯，细分变得显而易见。300 美元的入门点和 3000 美元的 Terminator 工具上限并不是一个固定费用。这是分层定价，供应商在买家的预算和需求不同的情况下设定的那种定价。AvNeutralizer 的 4000 到 15000 美元的价格区间位于其上方一个层级。低风险工作的廉价工具，针对强化目标的高端构建。定价层次是市场成熟的标志，超越了单一卖家和单一产品。
命名约定本身也传达了信号。卖家为他们的杀手品牌和版本，从 Terminator 到 AvNeutralizer 再到 EDRKillShifter。你不会为一个打算只使用一次的工具命名和版本化。你命名它是因为买家会再次要求它、推荐它，并将其与竞争对手进行比较。命名约定是一个小细节。