Los investigadores de SentinelOne han publicado un análisis sobre la creciente tendencia de los atacantes a utilizar controladores vulnerables, conocidos como BYOVD (Bring Your Own Vulnerable Driver), para eludir las defensas basadas en EDR. Estas técnicas permiten a los adversarios ejecutar código en modo kernel sin necesidad de firmar los drivers, lo que complica la detección tradicional. El informe desglosa la cadena de ataque en cuatro comportamientos clave que pueden ser perseguidos por los equipos de detección antes de que se despliegue el ransomware.

Qué sabemos hasta ahora

Los BYOVD se están empleando como una alternativa a los “EDR‑killer” tradicionales, aprovechando vulnerabilidades en drivers genéricos o en componentes de bajo nivel del sistema operativo. La investigación muestra que los atacantes combinan esta técnica con payloads “driverless” que se cargan directamente en memoria, evitando la escritura en disco. Además, se ha observado que la fase de movimiento lateral se facilita al mantener privilegios de kernel durante toda la operación.

El estudio de SentinelOne identifica cuatro patrones de comportamiento que aparecen de forma recurrente: carga de driver no firmado, ejecución de código en modo kernel, manipulación de estructuras del kernel y activación de ransomware tras la consolidación del acceso. Cada uno de estos pasos deja rastros que pueden ser correlacionados por soluciones de detección basadas en comportamiento.

Análisis técnico

El vector inicial suele iniciarse mediante un archivo ejecutable que, al ejecutarse, extrae y carga un driver vulnerable mediante llamadas a NtLoadDriver o APIs equivalentes. Una vez en modo kernel, el driver modifica estructuras críticas como la tabla de descriptores de interrupciones o los objetos de proceso, lo que le otorga control total sobre el sistema. Esta manipulación permite inyectar código malicioso sin activar los sensores de EDR que se centran en actividades de espacio de usuario.

Posteriormente, el atacante despliega módulos “driverless” que se ejecutan directamente en memoria, usando técnicas de reflective loading para evitar la creación de archivos en disco. La cadena concluye con la activación del ransomware, que se dispara una vez que se confirma la persistencia y el control del entorno objetivo.

“Los BYOVD permiten ejecutar código en modo kernel sin depender de un driver firmado, lo que rompe la suposición de confianza que muchas soluciones EDR mantienen.” – Equipo de investigación de SentinelOne

Impacto y alcance

Los ataques basados en la técnica BYOVD (Bring Your Own Vulnerable Driver) están afectando a una amplia gama de sectores, desde la industria manufacturera hasta los servicios financieros y la salud. Al aprovechar controladores legítimos pero vulnerables, los adversarios pueden evadir soluciones tradicionales de detección y ejecutar código malicioso con privilegios elevados.

Organizaciones que dependen de entornos Windows con controladores de terceros sin una gestión rigurosa de parches son particularmente vulnerables. En la actualidad, la comunidad de seguridad ha identificado varios exploits públicos que demuestran la viabilidad de la técnica, lo que incrementa la presión sobre los equipos de defensa para actualizar sus procesos de mitigación.

¿Cómo afecta esto a LATAM?

En México, varias empresas de telecomunicaciones y de servicios críticos han reportado intentos de explotación de controladores vulnerables, lo que ha generado alertas en los equipos de respuesta a incidentes. La falta de visibilidad profunda en los endpoints ha dificultado la detección temprana de estas amenazas.

En Colombia y Argentina, sectores como la banca y la energía están adoptando cada vez más soluciones de virtualización y contenedores que, aunque mejoran la eficiencia, también introducen nuevos vectores de ataque cuando los controladores subyacentes no se gestionan adecuadamente. La exposición a BYOVD se vuelve una preocupación real para cualquier organización que dependa de software de terceros sin una supervisión constante.

Qué deben hacer los equipos de seguridad

  • Implementar una política de gestión de controladores que incluya la catalogación, el seguimiento de versiones y la aplicación de parches tan pronto como estén disponibles.
  • Desplegar soluciones de detección basadas en comportamiento que monitoricen actividades sospechosas relacionadas con la carga y ejecución de controladores.
  • Restringir los privilegios de instalación de controladores a cuentas estrictamente necesarias y utilizar firmas digitales para validar la integridad de los mismos.
  • Realizar auditorías regulares de los controladores instalados en los endpoints, identificando aquellos que no provienen de fuentes confiables.
  • Capacitar a los equipos de TI y desarrollo sobre los riesgos asociados a la reutilización de controladores y fomentar prácticas de desarrollo seguro.
  • Establecer un proceso de respuesta rápida que incluya la desactivación inmediata de controladores comprometidos y la aplicación de mitigaciones temporales mientras se despliegan los parches definitivos.

Reflexión

Si la seguridad de los endpoints depende cada vez más de componentes de terceros, ¿estamos preparados para gestionar la complejidad que ello conlleva? La pregunta no es si los atacantes encontrarán una vulnerabilidad en un controlador, sino cuánto tiempo tardaremos en detectarla y neutralizarla antes de que cause un daño irreversible.