БХ

Белый Хакер

IT и технологии · 16 июля 2026 г.

Открыть канал в MAX

⚔️ BYOVD | Подписанный драйвер как ключ к ядру | Как Lazarus глушил EDR из Ring 0

⚔️ BYOVD | Подписанный драйвер как ключ к ядру | Как Lazarus глушил EDR из Ring 0 BYOVD – техника, при которой атакующий загружает на машину жертвы легитимный подписанный, но уязвимый драйвер и через него выполняет произвольный код в Ring 0, убивая EDR до того, как тот успевает что-либо сделать. Capcom.sys от японской игровой компании: by-design содержит механизм выполнения шеллкода в kernel context, временно отключая SMEP. Lazarus применял аналогичный подход с FudModule-рутктом, а когда блоклист прижал BYOVD – перешёл на zero-day CVE-2024-21338 в appid.sys. — В данной статье разберем как BYOVD-драйвер нокаутирует kernel callbacks EDR, kill chain от admin-прав до полного контроля ядра, актуальная база LOLDrivers и детектирование по Sysmon Event ID 6. 🎤 Чтиво #BYOVD #EDRevasion #KernelExploit / White Hat / max.ru/kind_hack