En los \u00faltimos a\u00f1os, los EDR killers se han consolidado como una de las herramientas m\u00e1s recurrentes en las intrusiones modernas de ransomware. El patr\u00f3n es casi siempre el mismo: el atacante obtiene privilegios elevados, despliega una de estas herramientas para desactivar la protecci\u00f3n del sistema y, solo entonces, ejecuta el cifrador. Aunque la t\u00e9cnica dominante sigue siendo Bring Your Own Vulnerable Driver (BYOVD), los atacantes tambi\u00e9n abusan con frecuencia de utilidades leg\u00edtimas anti-rootkit o recurren a enfoques sin driver para bloquear la comunicaci\u00f3n del software de detecci\u00f3n y respuesta en endpoints (EDR) o suspenderlo en el lugar. Estas herramientas no solo son abundantes, sino que se comportan de manera predecible y consistente, y es precisamente por eso que los afiliados las buscan.<\/p>\n
Un an\u00e1lisis exhaustivo respaldado por la telemetr\u00eda de ESET<\/a> y la investigaci\u00f3n de incidentes ha permitido catalogar y rastrear casi 90 EDR killers activos en el mundo real. Este trabajo va m\u00e1s all\u00e1 de los drivers vulnerables que suelen acaparar la discusi\u00f3n: documenta c\u00f3mo los afiliados seleccionan, adaptan y operan estos programas en intrusiones reales, y qu\u00e9 implicaciones tiene esto para la atribuci\u00f3n y la defensa. El an\u00e1lisis basado \u00fanicamente en los drivers a menudo conduce a atribuciones err\u00f3neas, y se han documentado casos concretos de reutilizaci\u00f3n y cambio de drivers entre c\u00f3digos base no relacionados, adem\u00e1s del crecimiento de las t\u00e9cnicas sin driver junto con kits comerciales endurecidos. El resultado es una imagen clara y basada en evidencia de c\u00f3mo los EDR killers funcionan como una etapa predecible en las operaciones modernas de ransomware.<\/p>\n Los investigadores de ESET han centrado su atenci\u00f3n m\u00e1s all\u00e1 de los drivers vulnerables que estas herramientas suelen explotar. Establecer conexiones bas\u00e1ndose \u00fanicamente en los drivers mal utilizados es insuficiente y puede llevar a suposiciones incorrectas. El panorama que revela esta investigaci\u00f3n es masivo: abarca desde infinitas bifurcaciones de pruebas de concepto (PoC) hasta implementaciones profesionales complejas. Centrarse en los EDR killers comerciales, anunciados en la darknet, permite comprender mejor su base de clientes y detectar afiliaciones que de otro modo permanecer\u00edan ocultas. Los EDR killers desarrollados internamente ofrecen informaci\u00f3n sobre el funcionamiento de grupos cerrados. Adem\u00e1s, el fen\u00f3meno del \u00abvibe coding\u00bb (codificaci\u00f3n asistida por intuici\u00f3n o IA) est\u00e1 complicando a\u00fan m\u00e1s el panorama.<\/p>\n Hasta la fecha, el conocimiento sobre el ecosistema de EDR killers se sustenta en los siguientes datos:<\/p>\n A lo largo de este art\u00edculo, se hace referencia a las entidades que conforman el modelo de ransomware como servicio (RaaS) de la siguiente manera: los operadores<\/strong>, que desarrollan la carga \u00fatil del ransomware, gestionan las claves de descifrado, mantienen el sitio de filtraciones, a menudo negocian el pago del rescate con las v\u00edctimas y ofrecen otras herramientas y servicios a cambio de una tarifa mensual o un porcentaje del rescate (normalmente del 5 % al 20 %); y los afiliados<\/strong>, que alquilan los servicios de ransomware a los operadores, despliegan los cifradores en las redes de las v\u00edctimas y extraen datos de sus m\u00e1quinas.<\/p>\n Para cifrar datos con \u00e9xito, los cifradores de ransomware necesitan evadir la detecci\u00f3n. Hoy en d\u00eda existe una amplia gama de t\u00e9cnicas de evasi\u00f3n maduras, que van desde el empaquetado y la virtualizaci\u00f3n de c\u00f3digo hasta la inyecci\u00f3n sofisticada. Sin embargo, rara vez se ven implementadas en los cifradores. En su lugar, los atacantes de ransomware optan por los EDR killers para desbaratar las soluciones de seguridad justo antes de desplegar el cifrador. Este enfoque diferente plantea una pregunta natural: \u00bfpor qu\u00e9 no invertir mejor en hacer que los cifradores no sean detectados?<\/p>\n Las bandas de ransomware, especialmente las que operan con programas RaaS, producen con frecuencia nuevas versiones de sus cifradores. Garantizar que cada nueva versi\u00f3n no sea detectada de forma fiable puede llevar mucho tiempo. M\u00e1s importante a\u00fan, los cifradores son inherentemente muy ruidosos, ya que necesitan modificar un gran n\u00famero de archivos en un per\u00edodo corto; hacer que este tipo de malware no sea detectado es todo un desaf\u00edo. Los EDR killers ofrecen una alternativa m\u00e1s limpia. En lugar de enterrar l\u00f3gica de evasi\u00f3n de detecci\u00f3n dentro de cada actualizaci\u00f3n del cifrador, los atacantes simplemente conf\u00edan en una herramienta externa para desbaratar o desactivar los controles de seguridad inmediatamente antes de la ejecuci\u00f3n, manteniendo los cifradores simples, estables y f\u00e1ciles de reconstruir.<\/p>\n Los EDR killers son extremadamente accesibles. No todos los intrusos o afiliados tienen las habilidades necesarias para desarrollar sus propias estrategias de evasi\u00f3n de defensas. Pero gracias a las grandes colecciones de PoC p\u00fablicas, los EDR killers se han convertido esencialmente en herramientas \u00abplug-and-play\u00bb. Al mismo tiempo, estos programas a menudo se basan en drivers leg\u00edtimos pero vulnerables, lo que dificulta significativamente la defensa sin correr el riesgo de interrumpir software empresarial o heredado. El resultado es una clase de herramientas que ofrece un impacto a nivel de kernel con un esfuerzo de desarrollo m\u00ednimo, lo que las hace desproporcionadamente poderosas dada su simplicidad.<\/p>\n Empaquetar o inyectar c\u00f3digo puede ayudar a que un implante pase desapercibido, pero no garantiza la estabilidad a largo plazo de la carga \u00fatil del ransomware durante la fase final de la intrusi\u00f3n. Debido a la protecci\u00f3n por capas que proporcionan los productos de seguridad, los cifradores empaquetados pueden seguir siendo detectados en memoria o en otras etapas de la ejecuci\u00f3n. Los EDR killers, por otro lado, proporcionan un paso predecible y repetible en la cadena de ataque, ofreciendo a los atacantes un flujo de trabajo m\u00e1s determinista. Adem\u00e1s, su objetivo es desbaratar la soluci\u00f3n de seguridad en su conjunto, eliminando eficazmente todas las capas de protecci\u00f3n.<\/p>\n Los EDR killers m\u00e1s simples no dependen de drivers vulnerables ni de otras t\u00e9cnicas avanzadas. En su lugar, abusan de herramientas y comandos administrativos integrados, como taskkill<\/strong>, net stop<\/strong> o sc delete<\/strong>, para alterar los procesos y servicios de los productos de seguridad. Estos enfoques rudimentarios a\u00fan aparecen ocasionalmente, pero hoy en d\u00eda se asocian principalmente con actores de ransomware de baja cualificaci\u00f3n y malware gen\u00e9rico. Variantes ligeramente m\u00e1s sofisticadas combinan scripts con el modo seguro de Windows. Dado que el modo seguro carga solo un subconjunto m\u00ednimo del sistema operativo y las soluciones de seguridad no suelen incluirse, el malware tiene m\u00e1s posibilidades de desactivar la protecci\u00f3n. Sin embargo, esta actividad es muy ruidosa, ya que requiere un reinicio, lo que resulta arriesgado y poco fiable en entornos desconocidos. Por lo tanto, solo se ve raramente en la naturaleza.<\/p>\n Hace a\u00f1os, antes de que Microsoft<\/a> impusiera la firma de drivers en modo kernel, los rootkits florec\u00edan en el ecosistema del cibercrimen, ocultando actividades maliciosas mediante la manipulaci\u00f3n de estructuras del kernel. Su prevalencia llev\u00f3 al desarrollo de herramientas anti-rootkit especializadas dise\u00f1adas para detectarlos y eliminarlos. Debido a que los rootkits operan en modo kernel, estas herramientas requieren naturalmente altos privilegios y sus propios drivers para descubrir, enumerar y neutralizar los rootkits. Hoy en d\u00eda, los afiliados de ransomware abusan con frecuencia de estas mismas herramientas anti-rootkit, pero no para eliminar rootkits, sino para paralizar las soluciones de seguridad. Muchos anti-rootkits ofrecen una interfaz gr\u00e1fica f\u00e1cil de usar que permite a los usuarios, incluidos atacantes con poca capacidad t\u00e9cnica, terminar procesos o servicios protegidos. En otras palabras, las herramientas de remediaci\u00f3n leg\u00edtimas se han convertido en EDR killers convenientes cuando se usan de forma indebida. Entre ellas se incluyen GMER, HRSword y PC Hunter.<\/p>\n Aunque los rootkits son en gran medida raros en el cibercrimen moderno, todav\u00eda surgen excepciones notables. Un ejemplo del a\u00f1o pasado es ABYSSWORKER, un rootkit en modo kernel que llam\u00f3 la atenci\u00f3n despu\u00e9s de que sus creadores lograran firmarlo utilizando certificados robados a empresas chinas. Estos certificados tambi\u00e9n se hab\u00edan utilizado para firmar otro malware, por lo que no son espec\u00edficos de ABYSSWORKER. Dado que los certificados robados pertenecen a una cadena de confianza, un driver as\u00ed todav\u00eda puede ejecutarse en el kernel. Y, para complicar a\u00fan m\u00e1s las cosas, incluso la revocaci\u00f3n de certificados no es una opci\u00f3n infalible, como demostr\u00f3 recientemente Huntress.<\/p>\n La t\u00e9cnica BYOVD se ha convertido en el sello distintivo de los EDR killers modernos: dominante, fiable y ampliamente utilizada. En un escenario t\u00edpico, un atacante deja caer un driver leg\u00edtimo pero vulnerable en la m\u00e1quina de la v\u00edctima, instala el driver y luego ejecuta el malware que explota la vulnerabilidad del driver. El objetivo es terminar procesos protegidos o desactivar las callbacks de las que dependen los productos de seguridad. Aunque existen miles de drivers vulnerables leg\u00edtimos, solo un subconjunto relativamente peque\u00f1o es explotado activamente en incidentes de ransomware. Sin embargo, la disponibilidad de PoC p\u00fablicas significa que no hay l\u00edmite en la cantidad de actores de amenazas que pueden adoptar o adaptar exploits para estas vulnerabilidades. Algunos atacantes reutilizan c\u00f3digos base existentes con cambios m\u00ednimos o nulos; otros no cambian la l\u00f3gica pero la reimplementan en su lenguaje de programaci\u00f3n preferido; e incluso hay quienes desarrollan EDR killers completamente nuevos (conservando solo una peque\u00f1a parte del c\u00f3digo original responsable de la explotaci\u00f3n del driver) que utilizan ellos mismos u ofrecen como servicio.<\/p>\n Por \u00faltimo, existe una clase m\u00e1s peque\u00f1a pero creciente de EDR killers que logran sus objetivos sin tocar el kernel. En lugar de terminar procesos de EDR, estas herramientas interfieren con otras caracter\u00edsticas cr\u00edticas. Algunos ejemplos incluyen herramientas como EDRSilencer, que bloquea la comunicaci\u00f3n entre un endpoint y su backend de seguridad, y EDR-Freeze, que hace que los procesos de EDR se \u00abcuelguen\u00bb o dejen de responder. Estas t\u00e9cnicas sin driver son populares porque su enfoque no convencional dificulta la detecci\u00f3n y la mitigaci\u00f3n, y adem\u00e1s est\u00e1n disponibles p\u00fablicamente. De hecho, los investigadores de ESET han observado una r\u00e1pida adopci\u00f3n de estas herramientas en cuesti\u00f3n de d\u00edas por parte de actores de ransomware.<\/p>\n En 2025, los investigadores de ESET publicaron un an\u00e1lisis de EDRKillShifter, un EDR killer desarrollado por los operadores de RansomHub y ofrecido directamente a sus afiliados. Hasta la fecha, no se tiene constancia de ning\u00fan otro programa RaaS cuyos operadores proporcionen sus propios EDR killers propietarios. Esto convierte al ahora desaparecido RansomHub en una excepci\u00f3n notable en el panorama del ransomware. En su lugar, la mayor\u00eda de los actores de amenazas se encuadran en una de las siguientes categor\u00edas: bandas no RaaS que desarrollan sus propios EDR killers, atacantes que bifurcan y modifican ligeramente c\u00f3digo de PoC p\u00fablica, o atacantes que compran un EDR killer en mercados subterr\u00e1neos.<\/p>\n Las bandas no RaaS suelen operar como ecosistemas completamente cerrados: sin afiliados, sin corredores de acceso inicial y sin socios externos. Estos grupos mantienen un control estricto sobre sus flujos de trabajo de intrusi\u00f3n y suelen basarse en un conjunto de TTPs internamente consistente y repetible. Dado este nivel de disciplina operativa, el desarrollo de sus propios EDR killers se convierte en una extensi\u00f3n natural de su conjunto de herramientas. Los investigadores de ESET destacaron un ejemplo temprano de este modelo de desarrollo interno en 2024 con la banda Embargo. En ese momento, Embargo depend\u00eda de dos EDR killers: un script personalizado de modo seguro y MS4Killer, una herramienta inspirada en la PoC p\u00fablica s4killer. Aunque MS4Killer se basaba en una PoC disponible, sus desarrolladores realizaron cambios significativos: a\u00f1adieron paralelismo, modificaron el flujo del c\u00f3digo y cifraron las cadenas y el driver incrustado. Desde la publicaci\u00f3n de esa investigaci\u00f3n, Embargo ha pasado a otra PoC p\u00fablica, evil-mhyprot-cli, esta vez con modificaciones m\u00ednimas en el c\u00f3digo.<\/p>\n Un segundo ejemplo, m\u00e1s reciente, es la banda DeadLock. DeadLock mantiene un perfil bajo al no tener un sitio de filtraciones dedicado y realizar todas las negociaciones a trav\u00e9s de Session, una alternativa popular al m\u00e1s com\u00fan Tox. Los investigadores de ESET han observado que DeadLock utiliza dos EDR killers, DLKiller y Susanoo, as\u00ed como anti-rootkits como GMER y PC Hunter. Se cree con baja confianza que DLKiller y el cifrador de DeadLock son obra del mismo desarrollador debido a similitudes de c\u00f3digo notables, aunque no concluyentes por s\u00ed solas. Susanoo, por su parte, proporciona una pantalla de carga y una interfaz gr\u00e1fica que permite la interacci\u00f3n manual, lo que indica que el atacante necesita tener acceso interactivo a la m\u00e1quina de la v\u00edctima. La interfaz ofrece botones para precargar la lista de procesos monitorizados, incluyendo uno dedicado a procesos relacionados con Sophos y otro denominado \u00abTNT\u00bb que apunta a todos los procesos conocidos por Susanoo.<\/p>\n El tercer y \u00faltimo ejemplo es Warlock. Aunque el sitio de filtraciones de Warlock est\u00e1 en silencio desde el 6 de noviembre de 2025, el grupo sigue operativo y expandiendo su arsenal t\u00e9cnico. Warlock es conocido por su disposici\u00f3n a experimentar: adapt\u00f3 la t\u00e9cnica de abuso de VS Code para acceso remoto sigiloso, previamente documentada y utilizada por el grupo APT Mustang Panda, y tambi\u00e9n fue pionero en el uso malicioso de Velociraptor. Desde entonces, Warlock ha confiado sistem\u00e1ticamente en estas t\u00e9cnicas. Su enfoque hacia los cifradores sigue este mismo patr\u00f3n: ha empleado m\u00faltiples cifradores diferentes a lo largo del tiempo, desde personalizados hasta variantes basadas en Babyk o generadas con el constructor filtrado de LockBit Black. Dado todo esto, la experimentaci\u00f3n de Warlock con EDR killers no es sorprendente. Desde que el grupo apareci\u00f3 por primera vez, ha desplegado rutinariamente m\u00faltiples EDR killers por intrusi\u00f3n, a veces incluso docenas en operaciones recientes, forzando efectivamente el camino hacia una soluci\u00f3n funcional. El conjunto de herramientas de Warlock es diverso no solo en cantidad, sino tambi\u00e9n en profundidad t\u00e9cnica: el grupo no se limita a un solo driver vulnerable y ha abusado de al menos nueve drivers diferentes hasta la fecha, incluyendo algunos sin una PoC p\u00fablica conocida, un detalle que subraya la competencia t\u00e9cnica del grupo y su capacidad para adaptar herramientas ofensivas m\u00e1s all\u00e1 de lo que est\u00e1 f\u00e1cilmente disponible.<\/p>\n Este es, con diferencia, el enfoque m\u00e1s com\u00fan observado en las intrusiones de ransomware. Los actores de amenazas toman con frecuencia una PoC existente y bien probada, y ajustan solo los componentes no cr\u00edticos antes de desplegarla en ataques reales. Estas modificaciones suelen incluir la eliminaci\u00f3n o alteraci\u00f3n de mensajes de depuraci\u00f3n, la adici\u00f3n de ofuscaci\u00f3n de c\u00f3digo, el ajuste de la lista de productos de seguridad objetivo y la reescritura de la herramienta en un lenguaje de programaci\u00f3n diferente. El punto crucial, sin embargo, es que la l\u00f3gica de explotaci\u00f3n central, especialmente la parte que interact\u00faa con el driver vulnerable, casi nunca cambia. Esta l\u00f3gica suele ser tan simple como llamar a la API de Windows DeviceIoControl con el valor dwIoControlCode \u00abcorrecto\u00bb y el nombre del proceso a terminar en lpInBuffer. Si bien renombrar cadenas, reestructurar el c\u00f3digo base o reimplementar la herramienta en otro lenguaje son operaciones que no requieren un conocimiento t\u00e9cnico profundo, modificar la l\u00f3gica de explotaci\u00f3n ciertamente lo requiere y, por lo tanto, se evita t\u00edpicamente.<\/p>\n Aunque existen muchas PoC p\u00fablicas para EDR killers, un repositorio destaca por encima de los dem\u00e1s: el BYOVD de BlackSnufkin. Actualizado regularmente, contiene PoC para explotar 10 drivers vulnerables, cada una implementada siguiendo la misma plantilla modular. La implementaci\u00f3n permite modificaciones, extensiones y soporte para nuevos drivers de forma sencilla. Adem\u00e1s, el c\u00f3digo est\u00e1 bien documentado, lo que convierte a este repositorio en el m\u00e1s utilizado en actividades de ransomware en el mundo real. Se detect\u00f3 uno de los EDR killers de BlackSnufkin, TfSysMon-Killer, desplegado durante un ataque de ransomware Monti en febrero de 2025; la variante desplegada era funcionalmente id\u00e9ntica, pero fue reimplementada de Rust a C++, probablemente para alinearse con otras herramientas del actor de amenazas. Otro ejemplo de cambio de lenguaje es dead-av, que su autor describe abiertamente como una reescritura en Go de GhostDriver, otra PoC creada por BlackSnufkin.<\/p>\n Un esfuerzo de modificaci\u00f3n m\u00e1s extenso se puede ver en SmilingKiller, un EDR killer observado recientemente por los investigadores de ESET durante intrusiones de LockBit y Dire Wolf. Su desarrollador se inspir\u00f3 en kill-floor, una PoC de EDR killer que abusa de aswArPot.sys de Avast. Adem\u00e1s de modificar los mensajes de depuraci\u00f3n y a\u00f1adir ofuscaci\u00f3n de aplanamiento de flujo de control, el autor tambi\u00e9n cambi\u00f3 el driver abusado a K7RKScan.sys, el mismo driver que utiliza K7Terminator, otra de las PoC de BlackSnufkin.<\/p>\n Dada la fuerte y creciente demanda de herramientas de desbaratamiento de EDR, no es sorprendente que haya surgido un mercado paralelo para EDR killers comerciales. La gama de ofertas es amplia: algunos anuncios proporcionan solo promesas vagas sin detalles t\u00e9cnicos, mientras que otros incluyen listas extensas de caracter\u00edsticas, instrucciones de uso e incluso demostraciones en v\u00eddeo. A continuaci\u00f3n se presentan tres ejemplos notables.<\/p>\n Uno de estos anuncios, divulgado por Flare en octubre de 2025, se origin\u00f3 a partir de un actor de amenazas que utilizaba el apodo \u0411\u0430\u0444\u043e\u043c\u0435\u0442. El actor de amenazas anunciaba un EDR killer que los investigadores de ESET denominaron posteriormente DemoKiller. La telemetr\u00eda de ESET confirma que DemoKiller ha sido utilizado por afiliados de las bandas Qilin, Akira y Gentlemen, y tambi\u00e9n se observ\u00f3 su despliegue una vez durante una intrusi\u00f3n de RansomHouse. Otro EDR killer de pago gira en torno al rootkit ABYSSWORKER, ya comentado. Cuando se combina con su componente cargador empaquetado con HeartCrypt, al que los investigadores de ESET llamaron AbyssKiller, este EDR killer se ha convertido en uno de los m\u00e1s observados en el mundo real. Los investigadores de ESET han visto AbyssKiller utilizado por afiliados de las bandas Medusa, DragonForce y BlackSuit (ahora desarticulada). El \u00faltimo ejemplo notable es un EDR killer que los investigadores denominan CardSpaceKiller. Esta herramienta se empaqueta sistem\u00e1ticamente con VX Crypt, un empaquetador como servicio relativamente nuevo analizado por Sophos a finales de 2025. VX Crypt no es exclusivo de este EDR killer; tambi\u00e9n se ha utilizado para proteger otras familias de malware como BumbleBee. Seg\u00fan Sophos, CardSpaceKiller ha aparecido en intrusiones que involucran a Akira, Medusa, Qilin y Crytox. La telemetr\u00eda de ESET coincide con estos hallazgos y muestra adem\u00e1s su despliegue durante incidentes de MedusaLocker. Al analizar la carga \u00fatil desempaquetada, queda claro que este EDR killer proviene de una oferta comercial, donde el desarrollador intenta manejar casos l\u00edmite con advertencias. La naturaleza y el precio de estas herramientas comerciales var\u00edan. Algunas afirman vender el c\u00f3digo fuente, otras solo compilaciones individuales. El precio es a menudo una cuesti\u00f3n de negociaci\u00f3n individual; cuando se divulga p\u00fablicamente, el precio ha variado desde cientos hasta miles de d\u00f3lares estadounidenses.<\/p>\n Si bien el conjunto de drivers vulnerables abusados sigue siendo relativamente peque\u00f1o, el n\u00famero de componentes distintos en modo usuario que forman parte de los EDR killers modernos est\u00e1 creciendo r\u00e1pidamente. Ante este aumento en volumen y variedad, es natural preguntarse en 2026: \u00bfest\u00e1 contribuyendo la IA<\/a> a esta proliferaci\u00f3n? Determinar si la IA ayud\u00f3 directamente a producir un c\u00f3digo base espec\u00edfico a menudo es pr\u00e1cticamente imposible. No existe un marcador forense definitivo que distinga de forma fiable el c\u00f3digo generado por IA<\/a> del c\u00f3digo escrito por humanos, especialmente cuando los atacantes lo posprocesan u ofuscan. Sin embargo, los investigadores de ESET eval\u00faan que al menos algunos EDR killers observados recientemente muestran rasgos que sugieren fuertemente la asistencia de IA. Un ejemplo claro aparece en un EDR killer desplegado recientemente por Warlock. La herramienta contiene una secci\u00f3n de c\u00f3digo que no solo imprime una lista de \u00abPossible fixes\u00bb, un patr\u00f3n t\u00edpico del c\u00f3digo boilerplate generado por IA, sino que, en lugar de explotar un driver espec\u00edfico, implementa un mecanismo de prueba y error que itera a trav\u00e9s de varios nombres de dispositivo no relacionados y com\u00fanmente abusados hasta encontrar uno que funciona.<\/p>\n Comprender completamente el ecosistema de los EDR killers requiere mirar mucho m\u00e1s all\u00e1 de los drivers vulnerables. Si bien la explotaci\u00f3n de drivers sigue siendo un pilar dominante de muchas herramientas, es solo una parte de un panorama mucho m\u00e1s amplio. La investigaci\u00f3n muestra que centrarse \u00fanicamente en los drivers oculta relaciones significativas entre herramientas, afiliados y grupos de actividad. Una observaci\u00f3n clave es la divisi\u00f3n del trabajo en los ecosistemas RaaS. Los operadores suelen proporcionar el cifrador y la infraestructura de apoyo, pero la selecci\u00f3n del EDR killer queda en manos de los afiliados. Esto significa que cuanto m\u00e1s grande es el grupo de afiliados, m\u00e1s diversa se vuelve la herramienta de EDR killer. Al mismo tiempo, la reutilizaci\u00f3n consistente de herramientas espec\u00edficas dentro de grupos particulares puede ayudar a identificar nuevas afiliaciones, fortalecer los v\u00ednculos de infraestructura y revelar relaciones operador-afiliado que permanecer\u00edan invisibles si solo se observaran las familias de cifradores.<\/p>\n Las PoC p\u00fablicas han hecho que la explotaci\u00f3n de drivers sea ampliamente accesible, pero esto ha creado una situaci\u00f3n enga\u00f1osa: el mismo driver vulnerable se reutiliza a menudo en EDR killers no relacionados, y el mismo EDR killer puede utilizar diferentes drivers a lo largo del tiempo. Como resultado, la atribuci\u00f3n basada \u00fanicamente en el driver es propensa a errores. Un ejemplo claro es el driver de Baidu Antivirus BdApiUtil.sys, que aparece en m\u00faltiples proyectos independientes, incluyendo dead-av, BdApiUtil-Killer, DLKiller, HexKiller (uno de los EDR killers de Warlock) y SevexKiller (un EDR killer reciente detectado durante despliegues de Akira). El mismo patr\u00f3n se observa con el driver TfSysMon.sys (ThreatFire System Monitor), del que abusan TfSysMon-Killer, Susanoo y EDRKillShifter, tres c\u00f3digos base con implementaciones e historias de desarrollo distintas. El cambio de driver es igualmente com\u00fan. CardSpaceKiller, por ejemplo, inicialmente depend\u00eda de HwRwDrv.sys, pero variantes posteriores migraron a ThrottleStop.sys con cambios m\u00ednimos en la l\u00f3gica restante. El driver es intercambiable; la capa de explotaci\u00f3n sigue siendo en gran medida la misma. Esto ilustra el punto general: los drivers son un recurso mercantilizado, y su presencia por s\u00ed sola proporciona poca informaci\u00f3n sobre la sofisticaci\u00f3n del actor de amenazas o sus relaciones.<\/p>\n Los atacantes no est\u00e1n poniendo mucho esfuerzo en hacer que sus cifradores no sean detectados. M\u00e1s bien, todas las t\u00e9cnicas sofisticadas de evasi\u00f3n de defensas se han desplazado a los componentes en modo usuario de los EDR killers. Esta tendencia es m\u00e1s visible en los EDR killers comerciales, que a menudo incorporan capacidades maduras de anti-an\u00e1lisis y anti-detecci\u00f3n. Las t\u00e9cnicas recurrentes notables incluyen: el desacoplamiento del driver, donde el killer y el driver se entregan por separado y los afiliados instalan el driver manualmente verificando que se carga correctamente antes de ejecutar el componente de destrucci\u00f3n de EDR; el uso de empaquetadores comerciales como VX Crypt y HeartCrypt, que proporcionan ofuscaci\u00f3n a nivel de estructura, comportamiento anti-m\u00e1quina virtual y reempaquetado continuo para evadir firmas est\u00e1ticas, adem\u00e1s de protectores de virtualizaci\u00f3n de c\u00f3digo como VMProtect y Themida; drivers incrustados cifrados; cargas \u00fatiles externas cifradas que almacenan shellcode o componentes auxiliares en archivos separados; ofuscaci\u00f3n de c\u00f3digo como el aplanamiento de flujo de control y la resoluci\u00f3n de llamadas por hash; y la protecci\u00f3n con contrase\u00f1a, como se ve en EDRKillShifter.<\/p>\n Defenderse contra el ransomware requiere una mentalidad fundamentalmente diferente a la de defenderse contra amenazas automatizadas. Los correos de phishing, el malware gen\u00e9rico y las cadenas de exploits se detienen una vez que son detectados y neutralizados por las soluciones de seguridad; las intrusiones de ransomware no. Son operaciones interactivas, impulsadas por humanos, y los intrusos se adaptan continuamente a las detecciones, fallos de herramientas y obst\u00e1culos del entorno. Como resultado, incluso cuando se detectan pasos individuales, solo tienen valor defensivo si los defensores \u2014ya sea un equipo interno de SOC, un MSSP o un proveedor de MDR\u2014 responden correctamente, de inmediato y con la suficiente determinaci\u00f3n. La mayor\u00eda de los EDR killers dependen de drivers leg\u00edtimos pero vulnerables, por lo que los defensores a menudo se centran instintivamente en el bloqueo de drivers. Bloquear la carga del driver es un paso crucial y efectivamente neutraliza el EDR killer, pero solo en el \u00faltimo momento posible. Cuando un afiliado intenta instalar el driver, normalmente ya tiene altos privilegios y est\u00e1 a segundos de lanzar el cifrador. Si el EDR killer falla, simplemente probar\u00e1n con otra herramienta. Dado que estos drivers son leg\u00edtimos, un bloqueo demasiado agresivo corre el riesgo de interrumpir software cr\u00edtico para el negocio, complicando el manejo de incidentes. El bloqueo selectivo tambi\u00e9n se enfrenta a desaf\u00edos. En febrero de 2025, Check Point demostr\u00f3 que los actores de amenazas pudieron crear m\u00e1s de 2.500 muestras de Truesight.sys, todas ellas con firma v\u00e1lida debido a una debilidad en el proceso de verificaci\u00f3n de validez de la firma. Truesight.sys es tambi\u00e9n uno de los muchos ejemplos de una debilidad en la pol\u00edtica de firma de drivers de Microsoft. Un a\u00f1o despu\u00e9s, en febrero de 2026, Huntress analiz\u00f3 una intrusi\u00f3n en la que se abus\u00f3 de EnPortv.sys a pesar de que su certificado estaba caducado y expl\u00edcitamente revocado.<\/p>\n Por eso es esencial una estrategia de prevenci\u00f3n como primera l\u00ednea. Bloquear la carga de los drivers com\u00fanmente mal utilizados es un mecanismo de defensa eficaz y necesario, pero no deber\u00eda ser el \u00fanico. Estudiar los EDR killers permite a los defensores idear una estrategia multicapa que ampl\u00ede los horizontes; el objetivo es detener el EDR killer antes de su ejecuci\u00f3n. Al fin y al cabo, cuando se trata de ransomware, la estrategia de defensa m\u00e1s eficaz es contar con m\u00e9todos para detectar, contener y remediar la amenaza en cada paso posible.<\/p>\n Los EDR killers perduran porque son baratos, consistentes y est\u00e1n desacoplados del cifrador, una combinaci\u00f3n perfecta tanto para los desarrolladores de cifradores, que no necesitan centrarse en hacer que sus cifradores sean indetectables, como para los afiliados, que poseen una utilidad potente y f\u00e1cil de usar para desbaratar las defensas antes del cifrado. Esta investigaci\u00f3n, respaldada por telemetr\u00eda, presenta una visi\u00f3n del ecosistema de EDR killers que va m\u00e1s all\u00e1 del enfoque com\u00fan centrado en los drivers. Se documenta c\u00f3mo los afiliados, no los operadores, moldean la diversidad de herramientas, y c\u00f3mo los c\u00f3digos base reutilizan e intercambian drivers de forma rutinaria. Se describe c\u00f3mo el a\u00f1o pasado se produjo una oferta cada vez m\u00e1s comercializada de EDR killers, y se muestra c\u00f3mo los EDR killers comerciales, en particular, pueden proporcionar las t\u00e9cnicas de evasi\u00f3n de defensas que com\u00fanmente faltan en los cifradores. Se enfatiza que, si bien evitar que los drivers vulnerables se carguen es un paso crucial en la l\u00ednea de defensa, tambi\u00e9n puede provocar interrupciones en el negocio, por lo que no se debe confiar \u00fanicamente en eso y se debe apuntar a desbaratar los EDR killers antes de que tengan la oportunidad de cargar el driver. Adem\u00e1s, se demuestra que los enfoques sin driver, ya sean basados en scripts o en vulnerabilidades, son una adici\u00f3n favorita al arsenal de cualquier actor de amenazas de ransomware.<\/p>\n Se puede encontrar una lista completa de indicadores de compromiso y muestras en el repositorio de GitHub de ESET.<\/p>\n Esta tabla se ha elaborado utilizando la versi\u00f3n 18 del marco MITRE ATT&CK.<\/p>\nEl panorama de los EDR killers: m\u00e1s all\u00e1 de los drivers vulnerables<\/h2>\n
\n
\n
\u00bfPor qu\u00e9 los EDR killers son tan populares?<\/h2>\n
Fiabilidad y simplicidad operativa para los desarrolladores de cifradores<\/h3>\n
Bajo costo, alto poder<\/h3>\n
Predictibilidad y repetibilidad durante las intrusiones<\/h3>\n
Tecnolog\u00edas empleadas por los EDR killers<\/h2>\n
Scripts<\/h3>\n
Zona gris: anti-rootkits<\/h3>\n
Rootkits<\/h3>\n
Drivers vulnerables (BYOVD)<\/h3>\n
EDR killers sin driver<\/h3>\n
\u00bfQui\u00e9n desarrolla los EDR killers?<\/h2>\n
Grupos cerrados<\/h3>\n
Modificaci\u00f3n de pruebas de concepto (PoC)<\/h3>\n
EDR killer como servicio<\/h3>\n
EDR killers e inteligencia artificial<\/h2>\n
M\u00e1s all\u00e1 de los drivers: reutilizaci\u00f3n, cambio y evasi\u00f3n<\/h2>\n
Reutilizaci\u00f3n y cambio de drivers<\/h3>\n
Evasi\u00f3n de la detecci\u00f3n<\/h3>\n
Defensa contra ransomware y EDR killers<\/h2>\n
Indicadores de compromiso (IoCs)<\/h2>\n
Archivos<\/h3>\n
\n
T\u00e9cnicas MITRE ATT&CK<\/h2>\n
\n