Casi 90 EDR killers activos en ransomware: más allá de los drivers

En los últimos años, los EDR killers se han consolidado como una de las herramientas más recurrentes en las intrusiones modernas de ransomware. El patrón es casi siempre el mismo: el atacante obtiene privilegios elevados, despliega una de estas herramientas para desactivar la protección del sistema y, solo entonces, ejecuta el cifrador. Aunque la técnica dominante sigue siendo Bring Your Own Vulnerable Driver (BYOVD), los atacantes también abusan con frecuencia de utilidades legítimas anti-rootkit o recurren a enfoques sin driver para bloquear la comunicación del software de detección y respuesta en endpoints (EDR) o suspenderlo en el lugar. Estas herramientas no solo son abundantes, sino que se comportan de manera predecible y consistente, y es precisamente por eso que los afiliados las buscan.

Índice

Un análisis exhaustivo respaldado por la telemetría de ESET y la investigación de incidentes ha permitido catalogar y rastrear casi 90 EDR killers activos en el mundo real. Este trabajo va más allá de los drivers vulnerables que suelen acaparar la discusión: documenta cómo los afiliados seleccionan, adaptan y operan estos programas en intrusiones reales, y qué implicaciones tiene esto para la atribución y la defensa. El análisis basado únicamente en los drivers a menudo conduce a atribuciones erróneas, y se han documentado casos concretos de reutilización y cambio de drivers entre códigos base no relacionados, además del crecimiento de las técnicas sin driver junto con kits comerciales endurecidos. El resultado es una imagen clara y basada en evidencia de cómo los EDR killers funcionan como una etapa predecible en las operaciones modernas de ransomware.

El panorama de los EDR killers: más allá de los drivers vulnerables

Los investigadores de ESET han centrado su atención más allá de los drivers vulnerables que estas herramientas suelen explotar. Establecer conexiones basándose únicamente en los drivers mal utilizados es insuficiente y puede llevar a suposiciones incorrectas. El panorama que revela esta investigación es masivo: abarca desde infinitas bifurcaciones de pruebas de concepto (PoC) hasta implementaciones profesionales complejas. Centrarse en los EDR killers comerciales, anunciados en la darknet, permite comprender mejor su base de clientes y detectar afiliaciones que de otro modo permanecerían ocultas. Los EDR killers desarrollados internamente ofrecen información sobre el funcionamiento de grupos cerrados. Además, el fenómeno del «vibe coding» (codificación asistida por intuición o IA) está complicando aún más el panorama.

Hasta la fecha, el conocimiento sobre el ecosistema de EDR killers se sustenta en los siguientes datos:

Se detectan casi 90 EDR killers activos en el mundo real, utilizados por prácticamente cualquier banda de ransomware, grande o pequeña:
- 54 de ellos están basados en BYOVD y abusan de un total de 35 drivers vulnerables.
- 7 están basados en scripts.
- 15 son anti-rootkits u otro software disponible libremente.
De los 24 EDR killers basados en BYOVD, no se tiene constancia de una PoC pública en la que se basen; se estima que sus desarrolladores implementaron estas herramientas desde cero, inspirándose únicamente en el código de explotación del driver.

A lo largo de este artículo, se hace referencia a las entidades que conforman el modelo de ransomware como servicio (RaaS) de la siguiente manera: los operadores, que desarrollan la carga útil del ransomware, gestionan las claves de descifrado, mantienen el sitio de filtraciones, a menudo negocian el pago del rescate con las víctimas y ofrecen otras herramientas y servicios a cambio de una tarifa mensual o un porcentaje del rescate (normalmente del 5 % al 20 %); y los afiliados, que alquilan los servicios de ransomware a los operadores, despliegan los cifradores en las redes de las víctimas y extraen datos de sus máquinas.

¿Por qué los EDR killers son tan populares?

Para cifrar datos con éxito, los cifradores de ransomware necesitan evadir la detección. Hoy en día existe una amplia gama de técnicas de evasión maduras, que van desde el empaquetado y la virtualización de código hasta la inyección sofisticada. Sin embargo, rara vez se ven implementadas en los cifradores. En su lugar, los atacantes de ransomware optan por los EDR killers para desbaratar las soluciones de seguridad justo antes de desplegar el cifrador. Este enfoque diferente plantea una pregunta natural: ¿por qué no invertir mejor en hacer que los cifradores no sean detectados?

Fiabilidad y simplicidad operativa para los desarrolladores de cifradores

Las bandas de ransomware, especialmente las que operan con programas RaaS, producen con frecuencia nuevas versiones de sus cifradores. Garantizar que cada nueva versión no sea detectada de forma fiable puede llevar mucho tiempo. Más importante aún, los cifradores son inherentemente muy ruidosos, ya que necesitan modificar un gran número de archivos en un período corto; hacer que este tipo de malware no sea detectado es todo un desafío. Los EDR killers ofrecen una alternativa más limpia. En lugar de enterrar lógica de evasión de detección dentro de cada actualización del cifrador, los atacantes simplemente confían en una herramienta externa para desbaratar o desactivar los controles de seguridad inmediatamente antes de la ejecución, manteniendo los cifradores simples, estables y fáciles de reconstruir.

Bajo costo, alto poder

Los EDR killers son extremadamente accesibles. No todos los intrusos o afiliados tienen las habilidades necesarias para desarrollar sus propias estrategias de evasión de defensas. Pero gracias a las grandes colecciones de PoC públicas, los EDR killers se han convertido esencialmente en herramientas «plug-and-play». Al mismo tiempo, estos programas a menudo se basan en drivers legítimos pero vulnerables, lo que dificulta significativamente la defensa sin correr el riesgo de interrumpir software empresarial o heredado. El resultado es una clase de herramientas que ofrece un impacto a nivel de kernel con un esfuerzo de desarrollo mínimo, lo que las hace desproporcionadamente poderosas dada su simplicidad.

Predictibilidad y repetibilidad durante las intrusiones

Empaquetar o inyectar código puede ayudar a que un implante pase desapercibido, pero no garantiza la estabilidad a largo plazo de la carga útil del ransomware durante la fase final de la intrusión. Debido a la protección por capas que proporcionan los productos de seguridad, los cifradores empaquetados pueden seguir siendo detectados en memoria o en otras etapas de la ejecución. Los EDR killers, por otro lado, proporcionan un paso predecible y repetible en la cadena de ataque, ofreciendo a los atacantes un flujo de trabajo más determinista. Además, su objetivo es desbaratar la solución de seguridad en su conjunto, eliminando eficazmente todas las capas de protección.

Tecnologías empleadas por los EDR killers

Scripts

Los EDR killers más simples no dependen de drivers vulnerables ni de otras técnicas avanzadas. En su lugar, abusan de herramientas y comandos administrativos integrados, como taskkill, net stop o sc delete, para alterar los procesos y servicios de los productos de seguridad. Estos enfoques rudimentarios aún aparecen ocasionalmente, pero hoy en día se asocian principalmente con actores de ransomware de baja cualificación y malware genérico. Variantes ligeramente más sofisticadas combinan scripts con el modo seguro de Windows. Dado que el modo seguro carga solo un subconjunto mínimo del sistema operativo y las soluciones de seguridad no suelen incluirse, el malware tiene más posibilidades de desactivar la protección. Sin embargo, esta actividad es muy ruidosa, ya que requiere un reinicio, lo que resulta arriesgado y poco fiable en entornos desconocidos. Por lo tanto, solo se ve raramente en la naturaleza.

Zona gris: anti-rootkits

Hace años, antes de que Microsoft impusiera la firma de drivers en modo kernel, los rootkits florecían en el ecosistema del cibercrimen, ocultando actividades maliciosas mediante la manipulación de estructuras del kernel. Su prevalencia llevó al desarrollo de herramientas anti-rootkit especializadas diseñadas para detectarlos y eliminarlos. Debido a que los rootkits operan en modo kernel, estas herramientas requieren naturalmente altos privilegios y sus propios drivers para descubrir, enumerar y neutralizar los rootkits. Hoy en día, los afiliados de ransomware abusan con frecuencia de estas mismas herramientas anti-rootkit, pero no para eliminar rootkits, sino para paralizar las soluciones de seguridad. Muchos anti-rootkits ofrecen una interfaz gráfica fácil de usar que permite a los usuarios, incluidos atacantes con poca capacidad técnica, terminar procesos o servicios protegidos. En otras palabras, las herramientas de remediación legítimas se han convertido en EDR killers convenientes cuando se usan de forma indebida. Entre ellas se incluyen GMER, HRSword y PC Hunter.

Rootkits

Aunque los rootkits son en gran medida raros en el cibercrimen moderno, todavía surgen excepciones notables. Un ejemplo del año pasado es ABYSSWORKER, un rootkit en modo kernel que llamó la atención después de que sus creadores lograran firmarlo utilizando certificados robados a empresas chinas. Estos certificados también se habían utilizado para firmar otro malware, por lo que no son específicos de ABYSSWORKER. Dado que los certificados robados pertenecen a una cadena de confianza, un driver así todavía puede ejecutarse en el kernel. Y, para complicar aún más las cosas, incluso la revocación de certificados no es una opción infalible, como demostró recientemente Huntress.

Drivers vulnerables (BYOVD)

La técnica BYOVD se ha convertido en el sello distintivo de los EDR killers modernos: dominante, fiable y ampliamente utilizada. En un escenario típico, un atacante deja caer un driver legítimo pero vulnerable en la máquina de la víctima, instala el driver y luego ejecuta el malware que explota la vulnerabilidad del driver. El objetivo es terminar procesos protegidos o desactivar las callbacks de las que dependen los productos de seguridad. Aunque existen miles de drivers vulnerables legítimos, solo un subconjunto relativamente pequeño es explotado activamente en incidentes de ransomware. Sin embargo, la disponibilidad de PoC públicas significa que no hay límite en la cantidad de actores de amenazas que pueden adoptar o adaptar exploits para estas vulnerabilidades. Algunos atacantes reutilizan códigos base existentes con cambios mínimos o nulos; otros no cambian la lógica pero la reimplementan en su lenguaje de programación preferido; e incluso hay quienes desarrollan EDR killers completamente nuevos (conservando solo una pequeña parte del código original responsable de la explotación del driver) que utilizan ellos mismos u ofrecen como servicio.

EDR killers sin driver

Por último, existe una clase más pequeña pero creciente de EDR killers que logran sus objetivos sin tocar el kernel. En lugar de terminar procesos de EDR, estas herramientas interfieren con otras características críticas. Algunos ejemplos incluyen herramientas como EDRSilencer, que bloquea la comunicación entre un endpoint y su backend de seguridad, y EDR-Freeze, que hace que los procesos de EDR se «cuelguen» o dejen de responder. Estas técnicas sin driver son populares porque su enfoque no convencional dificulta la detección y la mitigación, y además están disponibles públicamente. De hecho, los investigadores de ESET han observado una rápida adopción de estas herramientas en cuestión de días por parte de actores de ransomware.

¿Quién desarrolla los EDR killers?

En 2025, los investigadores de ESET publicaron un análisis de EDRKillShifter, un EDR killer desarrollado por los operadores de RansomHub y ofrecido directamente a sus afiliados. Hasta la fecha, no se tiene constancia de ningún otro programa RaaS cuyos operadores proporcionen sus propios EDR killers propietarios. Esto convierte al ahora desaparecido RansomHub en una excepción notable en el panorama del ransomware. En su lugar, la mayoría de los actores de amenazas se encuadran en una de las siguientes categorías: bandas no RaaS que desarrollan sus propios EDR killers, atacantes que bifurcan y modifican ligeramente código de PoC pública, o atacantes que compran un EDR killer en mercados subterráneos.

Grupos cerrados

Las bandas no RaaS suelen operar como ecosistemas completamente cerrados: sin afiliados, sin corredores de acceso inicial y sin socios externos. Estos grupos mantienen un control estricto sobre sus flujos de trabajo de intrusión y suelen basarse en un conjunto de TTPs internamente consistente y repetible. Dado este nivel de disciplina operativa, el desarrollo de sus propios EDR killers se convierte en una extensión natural de su conjunto de herramientas. Los investigadores de ESET destacaron un ejemplo temprano de este modelo de desarrollo interno en 2024 con la banda Embargo. En ese momento, Embargo dependía de dos EDR killers: un script personalizado de modo seguro y MS4Killer, una herramienta inspirada en la PoC pública s4killer. Aunque MS4Killer se basaba en una PoC disponible, sus desarrolladores realizaron cambios significativos: añadieron paralelismo, modificaron el flujo del código y cifraron las cadenas y el driver incrustado. Desde la publicación de esa investigación, Embargo ha pasado a otra PoC pública, evil-mhyprot-cli, esta vez con modificaciones mínimas en el código.

Un segundo ejemplo, más reciente, es la banda DeadLock. DeadLock mantiene un perfil bajo al no tener un sitio de filtraciones dedicado y realizar todas las negociaciones a través de Session, una alternativa popular al más común Tox. Los investigadores de ESET han observado que DeadLock utiliza dos EDR killers, DLKiller y Susanoo, así como anti-rootkits como GMER y PC Hunter. Se cree con baja confianza que DLKiller y el cifrador de DeadLock son obra del mismo desarrollador debido a similitudes de código notables, aunque no concluyentes por sí solas. Susanoo, por su parte, proporciona una pantalla de carga y una interfaz gráfica que permite la interacción manual, lo que indica que el atacante necesita tener acceso interactivo a la máquina de la víctima. La interfaz ofrece botones para precargar la lista de procesos monitorizados, incluyendo uno dedicado a procesos relacionados con Sophos y otro denominado «TNT» que apunta a todos los procesos conocidos por Susanoo.

El tercer y último ejemplo es Warlock. Aunque el sitio de filtraciones de Warlock está en silencio desde el 6 de noviembre de 2025, el grupo sigue operativo y expandiendo su arsenal técnico. Warlock es conocido por su disposición a experimentar: adaptó la técnica de abuso de VS Code para acceso remoto sigiloso, previamente documentada y utilizada por el grupo APT Mustang Panda, y también fue pionero en el uso malicioso de Velociraptor. Desde entonces, Warlock ha confiado sistemáticamente en estas técnicas. Su enfoque hacia los cifradores sigue este mismo patrón: ha empleado múltiples cifradores diferentes a lo largo del tiempo, desde personalizados hasta variantes basadas en Babyk o generadas con el constructor filtrado de LockBit Black. Dado todo esto, la experimentación de Warlock con EDR killers no es sorprendente. Desde que el grupo apareció por primera vez, ha desplegado rutinariamente múltiples EDR killers por intrusión, a veces incluso docenas en operaciones recientes, forzando efectivamente el camino hacia una solución funcional. El conjunto de herramientas de Warlock es diverso no solo en cantidad, sino también en profundidad técnica: el grupo no se limita a un solo driver vulnerable y ha abusado de al menos nueve drivers diferentes hasta la fecha, incluyendo algunos sin una PoC pública conocida, un detalle que subraya la competencia técnica del grupo y su capacidad para adaptar herramientas ofensivas más allá de lo que está fácilmente disponible.

Modificación de pruebas de concepto (PoC)

Este es, con diferencia, el enfoque más común observado en las intrusiones de ransomware. Los actores de amenazas toman con frecuencia una PoC existente y bien probada, y ajustan solo los componentes no críticos antes de desplegarla en ataques reales. Estas modificaciones suelen incluir la eliminación o alteración de mensajes de depuración, la adición de ofuscación de código, el ajuste de la lista de productos de seguridad objetivo y la reescritura de la herramienta en un lenguaje de programación diferente. El punto crucial, sin embargo, es que la lógica de explotación central, especialmente la parte que interactúa con el driver vulnerable, casi nunca cambia. Esta lógica suele ser tan simple como llamar a la API de Windows DeviceIoControl con el valor dwIoControlCode «correcto» y el nombre del proceso a terminar en lpInBuffer. Si bien renombrar cadenas, reestructurar el código base o reimplementar la herramienta en otro lenguaje son operaciones que no requieren un conocimiento técnico profundo, modificar la lógica de explotación ciertamente lo requiere y, por lo tanto, se evita típicamente.

Aunque existen muchas PoC públicas para EDR killers, un repositorio destaca por encima de los demás: el BYOVD de BlackSnufkin. Actualizado regularmente, contiene PoC para explotar 10 drivers vulnerables, cada una implementada siguiendo la misma plantilla modular. La implementación permite modificaciones, extensiones y soporte para nuevos drivers de forma sencilla. Además, el código está bien documentado, lo que convierte a este repositorio en el más utilizado en actividades de ransomware en el mundo real. Se detectó uno de los EDR killers de BlackSnufkin, TfSysMon-Killer, desplegado durante un ataque de ransomware Monti en febrero de 2025; la variante desplegada era funcionalmente idéntica, pero fue reimplementada de Rust a C++, probablemente para alinearse con otras herramientas del actor de amenazas. Otro ejemplo de cambio de lenguaje es dead-av, que su autor describe abiertamente como una reescritura en Go de GhostDriver, otra PoC creada por BlackSnufkin.

Un esfuerzo de modificación más extenso se puede ver en SmilingKiller, un EDR killer observado recientemente por los investigadores de ESET durante intrusiones de LockBit y Dire Wolf. Su desarrollador se inspiró en kill-floor, una PoC de EDR killer que abusa de aswArPot.sys de Avast. Además de modificar los mensajes de depuración y añadir ofuscación de aplanamiento de flujo de control, el autor también cambió el driver abusado a K7RKScan.sys, el mismo driver que utiliza K7Terminator, otra de las PoC de BlackSnufkin.

EDR killer como servicio

Dada la fuerte y creciente demanda de herramientas de desbaratamiento de EDR, no es sorprendente que haya surgido un mercado paralelo para EDR killers comerciales. La gama de ofertas es amplia: algunos anuncios proporcionan solo promesas vagas sin detalles técnicos, mientras que otros incluyen listas extensas de características, instrucciones de uso e incluso demostraciones en vídeo. A continuación se presentan tres ejemplos notables.

Uno de estos anuncios, divulgado por Flare en octubre de 2025, se originó a partir de un actor de amenazas que utilizaba el apodo Бафомет. El actor de amenazas anunciaba un EDR killer que los investigadores de ESET denominaron posteriormente DemoKiller. La telemetría de ESET confirma que DemoKiller ha sido utilizado por afiliados de las bandas Qilin, Akira y Gentlemen, y también se observó su despliegue una vez durante una intrusión de RansomHouse. Otro EDR killer de pago gira en torno al rootkit ABYSSWORKER, ya comentado. Cuando se combina con su componente cargador empaquetado con HeartCrypt, al que los investigadores de ESET llamaron AbyssKiller, este EDR killer se ha convertido en uno de los más observados en el mundo real. Los investigadores de ESET han visto AbyssKiller utilizado por afiliados de las bandas Medusa, DragonForce y BlackSuit (ahora desarticulada). El último ejemplo notable es un EDR killer que los investigadores denominan CardSpaceKiller. Esta herramienta se empaqueta sistemáticamente con VX Crypt, un empaquetador como servicio relativamente nuevo analizado por Sophos a finales de 2025. VX Crypt no es exclusivo de este EDR killer; también se ha utilizado para proteger otras familias de malware como BumbleBee. Según Sophos, CardSpaceKiller ha aparecido en intrusiones que involucran a Akira, Medusa, Qilin y Crytox. La telemetría de ESET coincide con estos hallazgos y muestra además su despliegue durante incidentes de MedusaLocker. Al analizar la carga útil desempaquetada, queda claro que este EDR killer proviene de una oferta comercial, donde el desarrollador intenta manejar casos límite con advertencias. La naturaleza y el precio de estas herramientas comerciales varían. Algunas afirman vender el código fuente, otras solo compilaciones individuales. El precio es a menudo una cuestión de negociación individual; cuando se divulga públicamente, el precio ha variado desde cientos hasta miles de dólares estadounidenses.

EDR killers e inteligencia artificial

Si bien el conjunto de drivers vulnerables abusados sigue siendo relativamente pequeño, el número de componentes distintos en modo usuario que forman parte de los EDR killers modernos está creciendo rápidamente. Ante este aumento en volumen y variedad, es natural preguntarse en 2026: ¿está contribuyendo la IA a esta proliferación? Determinar si la IA ayudó directamente a producir un código base específico a menudo es prácticamente imposible. No existe un marcador forense definitivo que distinga de forma fiable el código generado por IA del código escrito por humanos, especialmente cuando los atacantes lo posprocesan u ofuscan. Sin embargo, los investigadores de ESET evalúan que al menos algunos EDR killers observados recientemente muestran rasgos que sugieren fuertemente la asistencia de IA. Un ejemplo claro aparece en un EDR killer desplegado recientemente por Warlock. La herramienta contiene una sección de código que no solo imprime una lista de «Possible fixes», un patrón típico del código boilerplate generado por IA, sino que, en lugar de explotar un driver específico, implementa un mecanismo de prueba y error que itera a través de varios nombres de dispositivo no relacionados y comúnmente abusados hasta encontrar uno que funciona.

Más allá de los drivers: reutilización, cambio y evasión

Comprender completamente el ecosistema de los EDR killers requiere mirar mucho más allá de los drivers vulnerables. Si bien la explotación de drivers sigue siendo un pilar dominante de muchas herramientas, es solo una parte de un panorama mucho más amplio. La investigación muestra que centrarse únicamente en los drivers oculta relaciones significativas entre herramientas, afiliados y grupos de actividad. Una observación clave es la división del trabajo en los ecosistemas RaaS. Los operadores suelen proporcionar el cifrador y la infraestructura de apoyo, pero la selección del EDR killer queda en manos de los afiliados. Esto significa que cuanto más grande es el grupo de afiliados, más diversa se vuelve la herramienta de EDR killer. Al mismo tiempo, la reutilización consistente de herramientas específicas dentro de grupos particulares puede ayudar a identificar nuevas afiliaciones, fortalecer los vínculos de infraestructura y revelar relaciones operador-afiliado que permanecerían invisibles si solo se observaran las familias de cifradores.

Reutilización y cambio de drivers

Las PoC públicas han hecho que la explotación de drivers sea ampliamente accesible, pero esto ha creado una situación engañosa: el mismo driver vulnerable se reutiliza a menudo en EDR killers no relacionados, y el mismo EDR killer puede utilizar diferentes drivers a lo largo del tiempo. Como resultado, la atribución basada únicamente en el driver es propensa a errores. Un ejemplo claro es el driver de Baidu Antivirus BdApiUtil.sys, que aparece en múltiples proyectos independientes, incluyendo dead-av, BdApiUtil-Killer, DLKiller, HexKiller (uno de los EDR killers de Warlock) y SevexKiller (un EDR killer reciente detectado durante despliegues de Akira). El mismo patrón se observa con el driver TfSysMon.sys (ThreatFire System Monitor), del que abusan TfSysMon-Killer, Susanoo y EDRKillShifter, tres códigos base con implementaciones e historias de desarrollo distintas. El cambio de driver es igualmente común. CardSpaceKiller, por ejemplo, inicialmente dependía de HwRwDrv.sys, pero variantes posteriores migraron a ThrottleStop.sys con cambios mínimos en la lógica restante. El driver es intercambiable; la capa de explotación sigue siendo en gran medida la misma. Esto ilustra el punto general: los drivers son un recurso mercantilizado, y su presencia por sí sola proporciona poca información sobre la sofisticación del actor de amenazas o sus relaciones.

Evasión de la detección

Los atacantes no están poniendo mucho esfuerzo en hacer que sus cifradores no sean detectados. Más bien, todas las técnicas sofisticadas de evasión de defensas se han desplazado a los componentes en modo usuario de los EDR killers. Esta tendencia es más visible en los EDR killers comerciales, que a menudo incorporan capacidades maduras de anti-análisis y anti-detección. Las técnicas recurrentes notables incluyen: el desacoplamiento del driver, donde el killer y el driver se entregan por separado y los afiliados instalan el driver manualmente verificando que se carga correctamente antes de ejecutar el componente de destrucción de EDR; el uso de empaquetadores comerciales como VX Crypt y HeartCrypt, que proporcionan ofuscación a nivel de estructura, comportamiento anti-máquina virtual y reempaquetado continuo para evadir firmas estáticas, además de protectores de virtualización de código como VMProtect y Themida; drivers incrustados cifrados; cargas útiles externas cifradas que almacenan shellcode o componentes auxiliares en archivos separados; ofuscación de código como el aplanamiento de flujo de control y la resolución de llamadas por hash; y la protección con contraseña, como se ve en EDRKillShifter.

Defensa contra ransomware y EDR killers

Defenderse contra el ransomware requiere una mentalidad fundamentalmente diferente a la de defenderse contra amenazas automatizadas. Los correos de phishing, el malware genérico y las cadenas de exploits se detienen una vez que son detectados y neutralizados por las soluciones de seguridad; las intrusiones de ransomware no. Son operaciones interactivas, impulsadas por humanos, y los intrusos se adaptan continuamente a las detecciones, fallos de herramientas y obstáculos del entorno. Como resultado, incluso cuando se detectan pasos individuales, solo tienen valor defensivo si los defensores —ya sea un equipo interno de SOC, un MSSP o un proveedor de MDR— responden correctamente, de inmediato y con la suficiente determinación. La mayoría de los EDR killers dependen de drivers legítimos pero vulnerables, por lo que los defensores a menudo se centran instintivamente en el bloqueo de drivers. Bloquear la carga del driver es un paso crucial y efectivamente neutraliza el EDR killer, pero solo en el último momento posible. Cuando un afiliado intenta instalar el driver, normalmente ya tiene altos privilegios y está a segundos de lanzar el cifrador. Si el EDR killer falla, simplemente probarán con otra herramienta. Dado que estos drivers son legítimos, un bloqueo demasiado agresivo corre el riesgo de interrumpir software crítico para el negocio, complicando el manejo de incidentes. El bloqueo selectivo también se enfrenta a desafíos. En febrero de 2025, Check Point demostró que los actores de amenazas pudieron crear más de 2.500 muestras de Truesight.sys, todas ellas con firma válida debido a una debilidad en el proceso de verificación de validez de la firma. Truesight.sys es también uno de los muchos ejemplos de una debilidad en la política de firma de drivers de Microsoft. Un año después, en febrero de 2026, Huntress analizó una intrusión en la que se abusó de EnPortv.sys a pesar de que su certificado estaba caducado y explícitamente revocado.

Por eso es esencial una estrategia de prevención como primera línea. Bloquear la carga de los drivers comúnmente mal utilizados es un mecanismo de defensa eficaz y necesario, pero no debería ser el único. Estudiar los EDR killers permite a los defensores idear una estrategia multicapa que amplíe los horizontes; el objetivo es detener el EDR killer antes de su ejecución. Al fin y al cabo, cuando se trata de ransomware, la estrategia de defensa más eficaz es contar con métodos para detectar, contener y remediar la amenaza en cada paso posible.

Los EDR killers perduran porque son baratos, consistentes y están desacoplados del cifrador, una combinación perfecta tanto para los desarrolladores de cifradores, que no necesitan centrarse en hacer que sus cifradores sean indetectables, como para los afiliados, que poseen una utilidad potente y fácil de usar para desbaratar las defensas antes del cifrado. Esta investigación, respaldada por telemetría, presenta una visión del ecosistema de EDR killers que va más allá del enfoque común centrado en los drivers. Se documenta cómo los afiliados, no los operadores, moldean la diversidad de herramientas, y cómo los códigos base reutilizan e intercambian drivers de forma rutinaria. Se describe cómo el año pasado se produjo una oferta cada vez más comercializada de EDR killers, y se muestra cómo los EDR killers comerciales, en particular, pueden proporcionar las técnicas de evasión de defensas que comúnmente faltan en los cifradores. Se enfatiza que, si bien evitar que los drivers vulnerables se carguen es un paso crucial en la línea de defensa, también puede provocar interrupciones en el negocio, por lo que no se debe confiar únicamente en eso y se debe apuntar a desbaratar los EDR killers antes de que tengan la oportunidad de cargar el driver. Además, se demuestra que los enfoques sin driver, ya sean basados en scripts o en vulnerabilidades, son una adición favorita al arsenal de cualquier actor de amenazas de ransomware.

Indicadores de compromiso (IoCs)

Se puede encontrar una lista completa de indicadores de compromiso y muestras en el repositorio de GitHub de ESET.

Archivos

SHA-1: 54547180A99474B0DBA289D92C4A8F3EEA78B531, Nombre: 2Gk8.exe, Detección: Win32/Loader.Lycaon.Y.gen, Descripción: AbyssKiller EDR killer.
SHA-1: 75F85CAEA52FE5A124FA77E2934ABD3161690ADD, Nombre: smuot.sys, Detección: Win64/Rootkit.Agent.DX, Descripción: Rootkit ABYSSWORKER.
SHA-1: 002573D80091F7F8167BCBDA3A402B85FA915F19, Nombre: lasdjfioasdjfioer.exe, Detección: Win64/HackTool.EDRSilencer.C, Descripción: EDRSilencer EDR killer.
SHA-1: 1E7567C0D525AD037FBBBAFB643BF40541994411, Nombre: EDR-Freeze.exe, Detección: Win64/HackTool.EDRFreeze.A, Descripción: EDR-Freeze EDR killer.
SHA-1: 65C2388B0AFB1D1F1860BB887456D8D6CD8B5645, Nombre: Killer.exe, Detección: Win64/KillAV.DQ, Descripción: EDRKillShifter EDR killer.
SHA-1: A9F37104D2D89051F34E1486BC6EBFF44D147E67, Nombre: EDRGay.exe, Detección: Win32/KillAV.NVJ, Descripción: DLKiller EDR killer.
SHA-1: 083F604377D74C4377822EF35021E34AD7DACEEA, Nombre: susanoo.exe, Detección: Win64/KillAV.CQ, Descripción: Susanoo EDR killer.
SHA-1: 570161A420992280A8ECED253EDC800296B72D1C, Nombre: vmtools.exe, Detección: Win32/KillAV.NVL, Descripción: HexKiller EDR killer.
SHA-1: BBE0E14BC7ECE8A7A1236D5A12E30476CFCEF110, Nombre: Test.exe, Detección: WinGo/KillAV.M, Descripción: SevexKiller EDR killer.
SHA-1: 31CE76931CA09D3918B34E3187703BC72E6D647E, Nombre: TfSysMon-Killer.exe, Detección: Win64/KillAV.DP, Descripción: TfSysMon-Killer EDR killer.
SHA-1: B9820BF443C375577CEEF44B9491E3A569A1B9E8, Nombre: deadav.exe, Detección: WinGo/KillAV.L, Descripción: dead-av EDR killer.
SHA-1: 34270B07538B7357CF10D0D5BDA68F234B602F93, Nombre: zcasdfhsdjfhoqewruoqwe.exe, Detección: Win64/KillAV.DP, Descripción: GhostDriver EDR killer.
SHA-1: 09735640D6634B0303755A9FD3B2BC80F932126C, Nombre: pip.exe, Detección: Win32/KillAV.NVQ, Descripción: SmilingKiller EDR killer.
SHA-1: 85BC0A4F67522D6AC6BE64D763E65A2945EC5028, Nombre: kill-floor.exe, Detección: Win64/KillAV.AV, Descripción: kill-floor EDR killer.
SHA-1: 711C95FEAD2215E9AC59E32E6E3B0D71AD5C5AA5, Nombre: demor.exe, Detección: Win64/Agent.GAJ, Descripción: DemoKiller EDR killer.
SHA-1: BC65ED919988C8E4B8F5A1CD371745456601700A, Nombre: demo.exe, Detección: Win64/KillAV.DR, Descripción: DemoKiller EDR killer.
SHA-1: 148C0CDE4F2EF807AEA77D7368F00F4C519F47EF, Nombre: BdApiUtil64.sys / drivergay.sys / Gosling.sys / kihost.sys, Detección: Win64/VulnDriver.Baidu.D, Descripción: Driver vulnerable de Baidu Antivirus BdApi.
SHA-1: 468121E7D6952799F92940677268937C4C5F92ED, Nombre: K7RKScan.sys / K7RKScan_1516.sys / wamsdk.sys, Detección: Win64/VulnDriver.K7Computing.A, Descripción: Driver vulnerable K7RKScan Kernel Module.
SHA-1: C881F43C7FE94A6F056A84DA8E9A32FE56D8DD9C, Nombre: elliot.sys / kill.sys / TfSysMon.sys / WatchMgrs.sys, Detección: Win64/Riskware.PCTools.A, Descripción: Driver vulnerable ThreatFire System Monitor.
SHA-1: 67D17CA90880B448D5C3B40F69CEC04D3649F170, Nombre: 1721894530.sys / rentdrv2.sys, Detección: Win64/VulnDriver.RentDrv.A, Descripción: Driver vulnerable Rentdrv2.
SHA-1: F329AE0FDF1E198BEA6BA787E59CB73F90714002, Nombre: data.sys, Detección: Win64/VulnDriver.AMD.E, Descripción: Driver vulnerable de la utilidad de actualización de firmware de alimentación USB-C.
SHA-1: 82ED942A52CDCF120A8919730E00BA37619661A3, Nombre: NitrogenK.sys / rwdrv.sys / ThrottleBlood.sys / ThrottleStop.sys, Detección: Win64/VulnDriver.GPUZ.B, Descripción: Driver vulnerable ThrottleStop.
SHA-1: CE1B9909CEF820E5281618A7A0099A27A70643DC, Nombre: hlpdrv.sys, Detección: Win64/Agent.GRL, Descripción: Rootkit personalizado utilizado por CardSpaceKiller.
SHA-1: 5D6B9E80E12BFC595D4D26F6AFB099B3CB471DD4, Nombre: aswArPot.sys / kallmekris.sys, Detección: Win64/VulnDriver.Avast.A, Descripción: Driver vulnerable anti-rootkit de Avast.
SHA-1: 7310D6399683BA3EB2F695A2071E0E45891D743B, Nombre: probmon.sys / Sysprox.sys, Detección: Win64/VulnDriver.ITMSystem.A, Descripción: Driver vulnerable ITM SYSTEM File Filter.
SHA-1: C85C9A09CD1CB1691DA0D96772391BE6DDBA3555, Nombre: kl.sys / rspot.sys, Detección: Win64/VulnDriver.Rising.A, Descripción: Driver vulnerable de Beijing Rising Network Security.
SHA-1: 6EE94F6BDC4C4ED0FFF621FEC36C70FF093659ED, Nombre: msupdate.sys / thelper.sys, Detección: Win32/IP-guard.E, Descripción: Driver vulnerable OCular THelper.
SHA-1: BA14C43031411240A0836BEDF8C8692B54698E05, Nombre: praxisbackup.exe, Detección: Win64/Agent.ECW, Descripción: MS4Killer EDR killer.
SHA-1: 127B50C8185986A52AE66BF6E7E67A6FD787C4FC, Nombre: version.dll, Detección: Win64/KillAV.CardSpaceKiller.C, Descripción: CardSpaceKiller EDR killer.
SHA-1: A3BDB419703A70157F2B7BD1DC2E4C9227DD9FE8, Nombre: 0th3r_av5.exe, Detección: Win64/KillAV.CardSpaceKiller.A, Descripción: CardSpaceKiller EDR killer.
SHA-1: 4A57083122710D51F247367AFD813A740AC180A1, Nombre: DrKiller_Cry_0x000E25C5DF65A3A.exe, Detección: Win64/Kryptik.FBC, Descripción: CardSpaceKiller EDR killer.
SHA-1: DB8BCB8693DDF715552F85B8E2628F060070F920, Nombre: HwRwDrv.sys / MegaDrov.sys, Detección: Win64/VulnDriver.HwRwDrv.C, Descripción: CardSpaceKiller EDR killer.

Técnicas MITRE ATT&CK

Esta tabla se ha elaborado utilizando la versión 18 del marco MITRE ATT&CK.

Táctica: Ejecución, ID: T1059.003, Nombre: Command and Scripting Interpreter: Windows Command Shell, Descripción: Los EDR killers basados en scripts usan taskkill, sc, net stop y comandos similares para alterar la protección.
Táctica: Ejecución, ID: T1569.002, Nombre: System Services: Service Execution, Descripción: Los EDR killers ejecutan drivers vulnerables como servicios.
Táctica: Persistencia, ID: T1543.003, Nombre: Create or Modify System Process: Windows Service, Descripción: Algunos EDR killers pueden crear servicios para ejecutarse en modo seguro o en el siguiente arranque.
Táctica: Persistencia, ID: T1037.001, Nombre: Boot or Logon Initialization Scripts: Logon Script (Windows), Descripción: Los EDR killers registran scripts y servicios para ejecutarse temprano en el arranque e interferir con la carga del EDR.
Táctica: Escalada de privilegios, ID: T1068, Nombre: Exploitation for Privilege Escalation, Descripción: Los EDR killers basados en BYOVD explotan drivers vulnerables para escalar privilegios a nivel de kernel.
Táctica: Evasión de defensas, ID: T1562.001, Nombre: Impair Defenses: Disable or Modify Tools, Descripción: Los EDR killers terminan o suspenden procesos/servicios de EDR/AV para evitar la detección.
Táctica: Evasión de defensas, ID: T1562.009, Nombre: Impair Defenses: Safe Mode Boot, Descripción: Los EDR killers basados en scripts reinician el sistema en modo seguro para alterar componentes de seguridad.
Táctica: Evasión de defensas, ID: T1070.004, Nombre: Indicator Removal: File Deletion, Descripción: Los EDR killers pueden intentar eliminar archivos de EDR/AV para desactivar las protecciones.
Táctica: Evasión de defensas, ID: T1562.006, Nombre: Impair Defenses: Indicator Blocking, Descripción: Los EDR killers sin driver bloquean la telemetría y la comunicación de red (ej. EDRSilencer).
Táctica: Evasión de defensas, ID: T1027, Nombre: Obfuscated Files or Information, Descripción: Los EDR killers comerciales, especialmente, utilizan ofuscación y cifrado (ej. CardSpaceKiller).
Táctica: Evasión de defensas, ID: T1027.009, Nombre: Obfuscated Files or Information: Embedded Payloads, Descripción: Algunos EDR killers incrustan los drivers directamente en sus componentes de modo usuario, a menudo cifrados.
Táctica: Evasión de defensas, ID: T1027.002, Nombre: Obfuscated Files or Information: Software Packing, Descripción: Los EDR killers comerciales dependen de empaquetadores como HeartCrypt o VX Crypt, y también de protectores de código avanzados como Themida y VMProtect.
Táctica: Evasión de defensas, ID: T1027.005, Nombre: Obfuscated Files or Information: Indicator Removal from Tools, Descripción: EDR killers como SmilingKiller usan aplanamiento de flujo de control y ofuscación de código.
Táctica: Evasión de defensas, ID: T1140, Nombre: Deobfuscate/Decode Files or Information, Descripción: Algunos EDR killers almacenan drivers y shellcode cifrados en archivos dedicados en disco.
Táctica: Impacto, ID: T1490, Nombre: Inhibit System Recovery, Descripción: Algunos EDR killers eliminan o renombran archivos relacionados con la seguridad, afectando la recuperación.
Táctica: Impacto, ID: T1489, Nombre: Service Stop, Descripción: Los EDR killers detienen servicios protegidos de productos de seguridad y alteran su funcionalidad.