Cómo detener a los atacantes que quieren desactivar tu protección de endpoints

La mayoría de la gente se imagina un ciberataque como algo llamativo: cifrado de archivos, pantallas bloqueadas, una nota de rescate. Pero los ataques que causan daño de verdad suelen empezar de forma silenciosa.

Antes de que un atacante robe datos o lance un ransomware, intenta asegurarse de que nadie está mirando. Eso significa ocuparse primero de la protección de los endpoints.

Las herramientas creadas para esta tarea tienen un nombre contundente en el sector de la seguridad: «EDR Killers». Entender cómo funcionan y por qué son más difíciles de detener de lo que parece explica mucho sobre lo que debe hacer una protección eficaz.

¿Por qué los atacantes van a por tu protección de endpoints?

La protección moderna de endpoints realiza dos tareas principales. Bloquea los ataques que reconoce y registra lo que ocurre en el dispositivo para que se pueda detectar e investigar cualquier comportamiento sospechoso. Esa segunda tarea se denomina detección y respuesta en endpoints (EDR).

Ambas funciones se interponen en el camino del atacante. Si la protección está activa, bloquea la técnica de explotación o el ransomware. Si el registro está activo, detecta la intrusión.

Por eso, los atacantes tratan el software de seguridad igual que un ladrón trata una cámara de seguridad: se deshacen de él antes de hacer nada más. Un primer paso habitual en una intrusión manual es debilitar o desactivar el software de seguridad, para luego continuar con el ataque real mientras el dispositivo está «ciego».

Un «EDR Killer» es cualquier herramienta creada con ese fin. Algunas son malware escrito expresamente para ello. Otras son software legítimo reconvertido. Sophos X-Ops ha detectado el mismo «EDR Killer», reconstruido para cada ataque, que varios grupos rivales utilizaron antes del ransomware. Todos comparten el mismo objetivo: desactivar las defensas y luego seguir adelante.

Trae tu propio controlador vulnerable

La protección de endpoints se ejecuta con privilegios elevados, por lo que un proceso normal no puede simplemente cerrarla. Para hacerlo, un atacante necesita la ayuda del núcleo de Windows, el nivel con más privilegios del sistema operativo.

Una de las formas más comunes de conseguir esa ayuda es una técnica llamada «Bring Your Own Vulnerable Driver» (BYOVD). Un controlador es un pequeño programa que permite a Windows comunicarse con el hardware u otros componentes de bajo nivel y se ejecuta dentro del núcleo. Windows solo carga controladores que un editor de confianza haya firmado digitalmente. El problema es que algunos controladores firmados legítimamente, a menudo los más antiguos, contienen vulnerabilidades que permiten a quien los carga hacer mucho más de lo que se había diseñado para ese controlador.

El atacante no tiene que saltarse las reglas. Trae consigo un controlador auténtico, firmado y de confianza, lo instala en el dispositivo de la víctima y luego aprovecha su vulnerabilidad para que el controlador actúe en su nombre. Como el controlador se ejecuta en el núcleo, puede hacer lo que un proceso normal no puede, como cerrar a la fuerza los procesos de protección del endpoint. El controlador no es malware. Es un componente legítimo que se utiliza con un fin ilegítimo, por lo que las herramientas que buscan archivos maliciosos no encuentran nada.

Cómo debe ser una buena protección

Una única defensa contra los «EDR Killers» no es suficiente, porque los atacantes tienen más de una vía de acceso. La protección debe cubrir el ataque desde varios ángulos a la vez.

Muchos «EDR Killers», y los controladores de los que dependen, ya son conocidos, y la protección basada en la reputación debería detenerlos en cuanto los detecte. Los sistemas de protección deben bloquear directamente, por defecto, cualquier controlador conocido por ser vulnerable, porque rara vez existe una buena razón para permitir que se cargue. Ese bloqueo no debe depender de que el ataque siga una secuencia específica.

Los atacantes también cambian sus herramientas, así que la protección debe evaluar tanto el comportamiento como la identidad. La forma en que un programa interactúa con un controlador, y qué más sucede en el dispositivo en ese momento, debería tener tanta importancia como el controlador en cuestión.

Tampoco todos los «EDR Killers» necesitan un controlador vulnerable. Algunos toman prestados los controladores firmados que vienen con herramientas legítimas de pruebas de seguridad, y otros dejan la protección en marcha y atacan la grabación en su lugar. La protección debe cubrir también esas vías.

Un atacante decidido que se topa con un bloqueo lo volverá a intentar. La protección debería responder a los intentos repetidos reforzando sus defensas, en lugar de esperar al siguiente movimiento.

Por último, la protección contra el objetivo final del atacante, como el ransomware, debería funcionar independientemente de los procesos a los que se dirigen los «EDR Killers». De esa forma, sigue funcionando incluso si un atacante llega más lejos de lo que debería.

Cómo detiene Sophos Endpoint a los «EDR Killers»

Sophos Endpoint utiliza varias capas de defensa complementarias contra los «EDR Killers», cada una de las cuales cubre un punto diferente del ataque.

La primera línea de defensa se ocupa de lo que Sophos ya ha detectado. La protección basada en la reputación bloquea las herramientas «EDR Killers» conocidas y los archivos sospechosos, basándose en la inteligencia sobre amenazas recopilada en las más de 300 000 organizaciones que utilizan Sophos Endpoint en todo el mundo. Sophos Endpoint también bloquea los controladores vulnerables conocidos a través de la configuración de la política «Bloquear controladores vulnerables», que viene activada por defecto en todos los dispositivos protegidos. El propio controlador es la señal, por lo que Sophos Endpoint lo bloquea antes de que el atacante pueda utilizarlo contra Sophos Endpoint, sea cual sea la secuencia que siga el ataque.

Esto funciona gracias a algo que los atacantes no pueden cambiar fácilmente. Un controlador vulnerable debe estar firmado legítimamente para poder cargarse, así que el atacante no puede modificar el archivo sin romper la firma. Su huella digital única (un hash criptográfico) sigue siendo la misma, independientemente del nombre que le ponga el atacante. La inteligencia sobre amenazas de Sophos X-Ops sigue ampliando la lista de controladores bloqueados a medida que nuevas investigaciones y casos de clientes los confirman, y las actualizaciones llegan a los clientes sin necesidad de actualizar el producto. Si se necesita un controlador concreto por motivos empresariales legítimos, los administradores pueden autorizarlo.

Un controlador vulnerable no es peligroso por sí solo. Solo resulta útil para un atacante cuando algo empieza a darle órdenes. Eso suele ocurrir a través de una interfaz estándar de Windows, y es en ese momento cuando el ataque se hace visible. Sophos Endpoint vigila precisamente ese patrón. Un proceso que instala un controlador y empieza a enviarle comandos de inmediato se comporta de forma sospechosa, y Sophos lo compara con lo que sabe sobre ese proceso: de dónde viene, desde dónde se está ejecutando y qué más ha estado haciendo. Sophos evalúa un intento de utilizar un controlador firmado en contra de tu protección de endpoints en función de lo que intenta hacer, no solo por el controlador que esté utilizando en ese momento. Eso es importante, porque el atacante siempre puede traer un controlador diferente. La protección contra manipulaciones añade una autodefensa a nivel del kernel contra los «EDR Killers» que usan controladores vulnerables.

Los atacantes no solo aprovechan los controladores vulnerables. Algunas herramientas legítimas de pruebas de penetración vienen con sus propios controladores firmados, pero los atacantes pueden hacer un uso indebido de esos controladores de la misma manera. Una configuración complementaria, «Bloquear controladores de herramientas de seguridad», los detiene siguiendo el mismo principio: el controlador es conocido, su huella digital no puede cambiar y Sophos lo bloquea antes de que se cargue. La protección contra manipulaciones proporciona a Sophos Endpoint una autodefensa a nivel del núcleo contra los «EDR Killers» que usan controladores vulnerables.

Sophos Endpoint también supervisa cómo los programas usan los controladores, comparando esa actividad con todo lo demás que ocurre en el dispositivo, de modo que los intentos de utilizar un controlador firmado en contra del software de seguridad se evalúan por su comportamiento, no solo por la identidad del controlador.

No todos los intentos de cegar un dispositivo pasan por un controlador. Algunos atacantes dejan la protección en marcha y se centran en el registro, manipulando el «Event Tracing for Windows» (ETW), el flujo de eventos que genera Windows y del que dependen los programas de seguridad —incluido Sophos Endpoint— para ver lo que está pasando. La configuración «Prevenir la manipulación del ETW» de Sophos Endpoint bloquea esos intentos, de modo que el dispositivo sigue informando mientras está bajo ataque.

Cuando un atacante sigue intentándolo, la protección se refuerza. El comportamiento repetido de un «EDR Killer» es una de las señales que activa automáticamente la Protección Adaptativa contra Ataques, lo que habilita defensas más estrictas en ese dispositivo mientras el ataque está en marcha. Y CryptoGuard, la protección contra ransomware de Sophos Endpoint, se ejecuta como un controlador de filtro dentro del núcleo, independiente de los procesos de protección del endpoint que los «EDR Killers» suelen intentar cerrar. Ni siquiera un atacante que consiga superar las capas anteriores puede cifrar los datos de forma fiable. En 2024, los atacantes responsables de un intento de ataque de RansomHub intentaron desactivar la protección de Sophos con un «EDR Killer» llamado EDRKillShifter. La herramienta falló, y el ransomware que ejecutaron a continuación tampoco funcionó al activar CryptoGuard.

Algunas organizaciones quieren ir más allá en dispositivos que rara vez cambian, como los controladores de dominio y otros servidores. Para esos dispositivos, Sophos Endpoint ofrece una configuración llamada «Detectar nuevos controladores del núcleo». Cuando está activada, el sistema registra como un evento cada nuevo controlador del kernel que se instala en el dispositivo, y los administradores pueden combinar esos eventos con reglas de detección personalizadas para generar una alerta o abrir un caso, como uno de alta gravedad cada vez que aparezca un nuevo controlador en un controlador de dominio. La configuración viene desactivada por defecto, porque en una estación de trabajo habitual los nuevos controladores son algo rutinario y los eventos serían solo ruido. En un dispositivo que no debería cambiar, merece la pena echarle un vistazo a un nuevo controlador.

Así es como funciona en la práctica: siete intentos, siete bloqueos

Un incidente reciente en un cliente de Sophos muestra cómo funcionan las capas en conjunto.

Un atacante intentó cargar un controlador firmado legítimamente, pero vulnerable, en un dispositivo protegido. Cuando Sophos bloqueó la carga, el atacante cambió el nombre del archivo para que pareciera un componente normal de Windows e intentó una y otra vez. Durante 76 minutos, el atacante presentó el mismo controlador con siete nombres de archivo diferentes que parecían de Windows.

Sophos bloqueó todos los intentos. El nombre del archivo cambió siete veces, pero la huella digital del controlador nunca varió, así que la política activada por defecto detectó cada uno de ellos.

Los intentos repetidos hicieron que la Protección Adaptativa contra Ataques se activara automáticamente en el dispositivo. Cuando el atacante intentó más tarde un enfoque diferente, utilizando un cambio en el registro para desactivar Microsoft Defender, el sistema también lo bloqueó.

El controlador vulnerable nunca se cargó. Tras una última ronda de reconocimiento, el sistema no observó más actividad maliciosa en el dispositivo.

Conclusión

Los atacantes van primero a por el software de seguridad porque todo lo demás que quieren hacer depende de que nadie los esté vigilando. Sophos Endpoint se ha diseñado teniendo esto en cuenta: detenemos las herramientas conocidas en cuanto las detectamos, bloqueamos los controladores vulnerables conocidos y los que vienen con herramientas de pruebas de penetración, evaluamos el uso indebido de los controladores por su comportamiento, protegemos el registro del que dependen los distintos productos de protección, reforzamos las defensas cuando un ataque persiste y la protección que más importa funciona por separado de lo que atacan los «EDR Killers». Las organizaciones que quieran una postura más estricta en los servidores pueden marcar cada nuevo controlador que aparezca.

Si estás evaluando una solución de protección para endpoints, pregúntale a tu proveedor cómo gestionan que un controlador firmado legítimamente se utilice en tu contra.

Para saber más sobre Sophos Endpoint y empezar una prueba gratuita, visita sophos.com/endpoint.