De los aproximadamente 90 «EDR killers» documentados que se utilizan activamente en el mundo real, 54 se basan en la misma técnica subyacente: BYOVD. Se carga un controlador del núcleo firmado legítimamente pero vulnerable y, a continuación, se aprovecha para obtener acceso a nivel del núcleo. A partir de ahí, los atacantes pueden cerrar el agente EDR o eliminar las funciones de devolución de llamada y los proveedores de ETW (Event Tracing for Windows) antes de que se active cualquier carga útil de ransomware. Se trata de un manual operativo documentado que utilizan actualmente los adversarios que atacan entornos empresariales.
En julio de 2026, los investigadores documentaron la operación del ransomware GodDamn, que es un cambio de nombre del grupo de ransomware como servicio Hyadina, y que cargaba el controlador firmado PoisonX para terminar los procesos de seguridad y eliminar API en modo usuario antes de desplegar su carga útil. Las intrusiones siguieron el guion al pie de la letra: AnyDesk para el acceso remoto, un conjunto de herramientas basado en NirSoft para la recopilación de credenciales y, a continuación, la eliminación de procesos a nivel del núcleo contra objetivos de los sectores sanitario, industrial y educativo de EE. UU.
Para los responsables de seguridad, la iniciativa «Bring Your Own Vulnerable Driver» (BYOVD) ha dejado de ser algo que se pueda resolver con parches. Pone de manifiesto un problema de confianza más profundo a nivel arquitectónico, relacionado con la forma en que Windows gestiona los controladores del núcleo firmados y con los supuestos en los que se basa ese modelo. Cualquier respuesta significativa debe partir de una comprensión clara de cómo afecta la iniciativa BYOVD a los controles en los que confías.
Resumen: Puntos clave
- Una investigación de ESET ha revelado que 54 de las casi 90 herramientas conocidas para eludir los sistemas EDR utilizan BYOVD, aprovechando 35 controladores firmados vulnerables distintos para obtener acceso a nivel del núcleo.
- BYOVD permite a los atacantes cerrar los procesos de EDR, dar de baja las funciones de devolución de llamada del núcleo y desactivar la telemetría antes de que se ejecute la carga útil del ransomware.
- La defensa en profundidad falla cuando todas las capas se ejecutan en el mismo sistema operativo del host; un solo ataque al núcleo puede dejar inoperativa toda la pila de una sola vez.
- El entorno aislado basado en emulación analiza los archivos en una infraestructura aislada fuera del espacio del núcleo del host, por lo que un agente EDR desactivado no puede impedir que se emita un veredicto.
- MetaDefender ofrece una eficacia de detección de amenazas de día cero del 99,9 % a una velocidad 20 veces superior a la de los entornos de pruebas tradicionales, con una eficiencia en el uso de recursos 100 veces mayor que la de los enfoques basados en máquinas virtuales.
- Normativas como NIS2, CMMC, NERC CIP e IEC 62443 exigen que las capacidades de protección se mantengan en condiciones adversas, algo que un único control con la función BYOVD desactivada no puede garantizar.
- En un análisis confirmado de un kit de herramientas BYOVD activo, los archivos VBoxDrv.sys y Shark.sys fueron identificados como MALICIOSOS antes de que se pudiera ejecutar ningún componente, lo que demuestra que esta técnica se está utilizando actualmente contra objetivos estadounidenses.
¿Qué es un ataque BYOVD y cómo desactiva el EDR?
La técnica en sí no es complicada de ejecutar, pero sus consecuencias son difíciles de contener. Una vez que un atacante actúa a nivel del núcleo, la detección basada en el comportamiento falla porque el sensor ya no está presente. Los componentes de análisis y detección del EDR fallan por la misma razón, y la suposición de que las herramientas de detección estarán presentes y funcionando cuando más se necesiten empieza a desmoronarse.
Según ESET, 54 de las casi 90 herramientas de eliminación de EDR que la empresa ha documentado utilizan BYOVD precisamente porque se trata de una técnica fiable, que aprovecha un total de 35 controladores vulnerables. El investigador de ESET, Jakub Souček, señaló que los operadores de ransomware como servicio suelen crear nuevas versiones del cifrador, y que las herramientas de eliminación basadas en BYOVD les permiten mantener ese cifrador sencillo y sin ser detectado, mientras que un componente independiente se encarga de eludir las defensas.
El uso que ha hecho el grupo Hyadina de PoisonX —un controlador del núcleo publicado en GitHub como herramienta de investigación y que, semanas más tarde, se utilizó en ataques reales de ransomware— pone de manifiesto la rapidez con la que estas herramientas pasan de la fase de prueba de concepto al despliegue operativo. La técnica de «desactivar primero las defensas y cifrar después» ya no es exclusiva de los operadores más sofisticados.
Los responsables de seguridad deberían mantener conversaciones más directas con sus consejos de administración sobre lo que esto implica. El EDR sigue siendo un control fundamental, pero cada vez resulta más difícil justificar que se considere como la última línea de defensa.
Por qué la defensa en profundidad falla frente al modelo BYOVD
La defensa en profundidad parte de la base de que ningún control por sí solo constituye la última línea de defensa y de que la arquitectura tiene en cuenta la posibilidad de que falle cualquier capa individual. En la práctica, muchas organizaciones implementan múltiples herramientas para terminales que comparten la misma dependencia subyacente: el sistema operativo del host. Si ese sistema operativo se ve comprometido a nivel del núcleo, toda la pila puede quedar expuesta de golpe.
La cuestión fundamental es la superficie de ataque compartida, no el número de herramientas implementadas. Un atacante capaz de llevar a cabo un ataque BYOVD no necesita eludir cada control por separado. Basta con cargar y explotar un controlador vulnerable para obtener ejecución a nivel del núcleo, lo que permite al atacante dar de baja las llamadas de retorno del EDR y terminar los procesos del agente antes de que la detección residente en el host tenga una oportunidad real de responder.
Incluir los controladores vulnerables en la lista de bloqueo es un paso necesario, pero presenta un problema de retraso estructural. Tal y como explica Brigid O Gorman, investigadora de Symantec, suele haber un lapso de días, y con mayor frecuencia de semanas, entre la identificación de un controlador y el momento en que la actualización de la lista de bloqueo llega a los terminales de las empresas. En otras palabras, los atacantes suelen actuar con mayor rapidez que la lista. PoisonX se publicó en abril de 2026 y ya se utilizó en un ataque de ransomware real en julio. Los operadores que saben que existe este margen de tiempo seguirán aprovechándolo.
Para subsanar esta deficiencia, es necesario realizar un análisis que se desarrolle fuera de la superficie de ataque a la que se dirige BYOVD: trasladar ciertos tipos de inspección de amenazas fuera del terminal, a una capa aislada a la que no pueda acceder una intrusión a nivel del núcleo, con el fin de evaluar los archivos antes de su ejecución. En ese momento, el enfoque arquitectónico pasa del refuerzo de la seguridad de los terminales a la inspección previa a la ejecución.
Cómo el entorno aislado basado en emulación analiza archivos fuera de la «zona de eliminación»
«Los EDR Killers no están burlando al sensor, simplemente lo eliminan y todo lo que depende de él desaparece con él», afirma Jack Madine, director sénior de producto de OPSWAT.MetaDefender cierra esa brecha al completar el análisis antes de que el archivo llegue al host al que podría ocultar».
MetaDefender es el motor de decisión basado en IA OPSWAT para la detección de amenazas de día cero en el perímetro de la red, desarrollado a partir de la emulación de aplicaciones en lugar de las máquinas virtuales tradicionales. Esa diferencia es directamente relevante para el modelo BYOVD, ya que el entorno de análisis nunca depende del estado del terminal que está protegiendo.
Los entornos de pruebas basados en máquinas virtuales pueden ser identificados. El malware más avanzado suele detectar los entornos virtualizados y suprimir su comportamiento malicioso, lo que da lugar a veredictos de «limpio» para archivos que, en realidad, no son inofensivos. La infraestructura de máquinas virtuales también presenta su propia superficie de ataque, que los adversarios decididos pueden sondear o eludir; en algunos casos, el propio entorno de pruebas se convierte en un objetivo.
El proceso de cinco capas MetaDefender adopta un enfoque diferente. La capa 1, «Reputación de amenazas», comprueba en tiempo real las URL, las direcciones IP y los dominios cotejándolos con indicadores de compromiso conocidos. La capa 2, «Alin AI/ML predictivoy análisis estático», predice el carácter malicioso de archivos nunca antes vistos mediante modelos de aprendizaje automático y un análisis estático en profundidad, detectando así las amenazas de día cero antes de que se ejecute ningún código.
La capa 3, «Análisis dinámico», emula el comportamiento de las aplicaciones a nivel de instrucción dentro de un entorno aislado que se ejecuta fuera del espacio del núcleo del host, en una infraestructura independiente. La capa 4, «Puntuación de amenazas», correlaciona los indicadores de comportamiento para obtener una puntuación de riesgo basada en el nivel de confianza, y la capa 5, «Búsqueda de amenazas», asocia los resultados al marco MITRE ATT&CK y realiza búsquedas de similitud mediante aprendizaje automático para identificar familias de malware y campañas.
En un análisis confirmado de un «EDR-killer» BYOVD activo, MetaDefender detectó el kit de herramientas antes de que se pudiera ejecutar ningún componente. Un controlador de VirtualBox firmado legítimamente (VBoxDrv.sys) —un controlador de un proveedor externo conocido por ser vulnerable y del que se abusa habitualmente para la escalada de privilegios a nivel del núcleo— fue clasificado como MALICIOSO con total certeza y etiquetado como BYOVD, junto con un segundo controlador malicioso del núcleo (Shark.sys) y el cargador (Sea.exe) creado para implementarlos.
Dado que el veredicto se obtiene mediante una emulación a nivel de instrucción en una infraestructura aislada, este se mantiene independientemente de si el agente del terminal sigue activo en el host. Esa es precisamente la situación que BYOVD está diseñado para eliminar.
Esa separación no implica una cobertura total; ningún control por sí solo la garantiza. Con una eficacia de detección de vulnerabilidades «zero-day» del 99,9 % y una eficiencia de recursos 100 veces superior a la de los entornos de pruebas basados en máquinas virtuales, MetaDefender ofrece esa capa de inspección sin la sobrecarga de infraestructura que hace que los entornos de pruebas tradicionales resulten poco prácticos desde el punto de vista operativo a gran escala. El objetivo no es sustituir la protección de los terminales, sino garantizar que, cuando dicha protección se vea superada, una capa previa ya haya cumplido su función.
Por qué la resiliencia es una obligación de cumplimiento normativo y no una preferencia de diseño
Para las organizaciones que operan bajo las normas NIS2, CMMC, NERC CIP o IEC 62443, la resiliencia conlleva unas expectativas de control bien definidas, y no se limita a la mera intención arquitectónica. Estos marcos exigen que los sistemas críticos mantengan sus capacidades de protección incluso en condiciones adversas. Es poco probable que una arquitectura en la que una sola técnica BYOVD pueda desactivar un control de detección primario cumpla con esas expectativas, especialmente ante un análisis exhaustivo tras un incidente.
El análisis previo a la ejecución, que funciona con independencia del estado del terminal, respalda directamente estos requisitos de resiliencia. Además, genera los elementos que suelen exigirse en los informes de cumplimiento: indicadores de compromiso, TTP (tácticas, técnicas y procedimientos) identificadas y puntuaciones de riesgo que los equipos de seguridad pueden presentar a los consejos de administración y a los organismos reguladores como prueba de que los controles por capas funcionan. Esa prueba tiene más peso que la documentación de controles que se implementaron pero que posteriormente fueron eludidos.
Con la confianza de más de 2.100 organizaciones, gobiernos e instituciones de todo el mundo, incluido el 98 % de las centrales nucleares de EE. UU., OPSWAT desarrollado su plataforma en torno a un principio claro: «No confíes en ningún archivo. No confíes en ningún dispositivo.™». Ese principio es precisamente el que aprovechan los ataques BYOVD cuando las organizaciones lo descuidan en los terminales.
Por qué la velocidad de inspección determina si esto se mantiene a gran escala
La defensa en profundidad sigue siendo teórica si introduce una latencia que las operaciones no pueden absorber. Los entornos de alto rendimiento, como los servicios financieros, la defensa y las infraestructuras críticas, no pueden hacer pasar todos los archivos por un entorno aislado que tarda varios minutos en emitir un veredicto. Si una capa de inspección se convierte en un cuello de botella, los equipos la eluden y la brecha que se pretendía cerrar vuelve a abrirse.
La arquitectura de emulación MetaDefender se basa en esta limitación. Los menores requisitos de recursos en comparación con el sandboxing basado en máquinas virtuales, junto con unas velocidades de análisis 20 veces superiores a las de los sandboxes tradicionales, permiten que la inspección se adapte a los volúmenes de archivos empresariales en los canales de correo electrónico, los flujos de trabajo de transferencia gestionada de archivos y los puntos de inspección de la pasarela. Esa velocidad es lo que hace que la inspección previa a la ejecución sea viable como control operativo estándar, en lugar de algo que solo se utilice tras un incidente.
Una arquitectura de seguridad que resiste bajo presión suele ser diferente de aquella que solo funciona sobre el papel. Los autores de amenazas que utilizan técnicas BYOVD se aprovechan de la brecha existente entre los controles documentados y la realidad operativa. Cerrar esa brecha, situando la inspección en una capa a la que los ataques a nivel del núcleo no puedan acceder fácilmente y ejecutándola a la velocidad que requiere el entorno, es lo que hace que la arquitectura funcione en la práctica.
Las intrusiones documentadas han zanjado la cuestión de si es posible desactivar el EDR. Sí que se puede, y de hecho se ha hecho en repetidas ocasiones. La pregunta que queda por responder es: ¿qué detecta la amenaza antes de que esta tenga oportunidad de actuar? Descubre cómo MetaDefender ofrece una inspección previa a la ejecución que funciona con independencia del estado del terminal.
Lecturas relacionadas
MetaDefender Página del productoMetaDefender
Entrada de blog relacionada: El malware evasivo ha superado los límites de la detección tradicional basada en máquinas virtuales
Caso de éxito: Una entidad financiera global adelanta la protección contra vulnerabilidades de día cero con MetaDefender
Preguntas frecuentes
¿Qué es un ataque BYOVD?
BYOVD (Bring Your Own Vulnerable Driver, «trae tu propio controlador vulnerable») es una técnica en la que los atacantes cargan un controlador del núcleo legítimo, firmado pero vulnerable, para obtener privilegios de nivel 0; a continuación, utilizan ese acceso para terminar los procesos de EDR, desactivar la telemetría y allanar el camino para una carga útil de ransomware.
¿Cuántas herramientas para eludir los sistemas EDR utilizan BYOVD?
Según ESET, 54 de las casi 90 herramientas para eludir los sistemas EDR documentadas se basan en BYOVD, aprovechando 35 controladores firmados vulnerables distintos para obtener acceso a nivel del núcleo.
¿Puede la lista de bloqueo de controladores vulnerables detener los ataques BYOVD?
La lista de bloqueo detiene los controladores vulnerables conocidos, pero los autores de las amenazas recurren a controladores firmados que aún no figuran en la lista, y los operadores más expertos utilizan vulnerabilidades de día cero en controladores desconocidos para Microsoft y los proveedores de EDR, lo que elude por completo la aplicación de la lista de bloqueo.
¿Por qué los entornos aislados basados en máquinas virtuales son vulnerables a la evasión?
Los entornos aislados basados en máquinas virtuales pueden ser identificados, y el malware avanzado suele detectar el entorno virtualizado y suprimir su comportamiento malicioso para generar un veredicto de «limpio», aunque el archivo no sea inofensivo.
¿Cómo se protege el entorno de pruebas basado en emulación frente a los ataques BYOVD?
El entorno de pruebas basado en emulación, como MetaDefender , analiza los archivos en una infraestructura aislada que se ejecuta fuera del espacio del núcleo del host. Un ataque BYOVD que desactive el agente EDR del terminal no tiene acceso a ese entorno de análisis independiente, por lo que la inspección y la emisión del veredicto continúan independientemente del estado del host.
¿Sustituye la inspección previa a la ejecución al EDR?
No. El EDR sigue siendo un control importante dentro de la arquitectura global. La inspección previa a la ejecución añade una capa que realiza su labor antes de que un atacante tenga la oportunidad de desactivar los controles basados en el host, lo que refuerza la resiliencia por capas en lugar de sustituir a la protección de los puntos finales.
