Von den rund 90 dokumentierten EDR-Killern, die derzeit aktiv im Umlauf sind, basieren 54 auf derselben grundlegenden Technik: BYOVD. Dabei wird ein rechtmäßig signierter, aber anfälliger Kernel-Treiber geladen und anschließend ausgenutzt, um Zugriff auf Kernel-Ebene zu erlangen. Von dort aus können Angreifer den EDR-Agenten beenden oder Callbacks und ETW-Anbieter (Event Tracing for Windows) entfernen, bevor eine Ransomware-Nutzlast ausgelöst wird. Dies ist ein dokumentiertes Vorgehensmodell von Angreifern, die derzeit auf Unternehmensumgebungen abzielen.
Im Juli 2026 dokumentierten Forscher die Ransomware-Operation „GodDamn“, bei der es sich um eine Umbenennung der Ransomware-as-a-Service-Gruppe „Hyadina“ handelt. Dabei wurde der signierte PoisonX-Treiber geladen, um Sicherheitsprozesse zu beenden und API im Benutzermodus zu entfernen, bevor die Schadlast eingesetzt wurde. Bei den Angriffen wurde das gesamte Repertoire durchgespielt: AnyDesk für den Fernzugriff, ein auf NirSoft basierendes Toolkit zum Sammeln von Anmeldedaten und schließlich das Beenden von Prozessen auf Kernel-Ebene bei Zielen aus den Bereichen Gesundheitswesen, Fertigung und Bildung in den USA.
Für Sicherheitsverantwortliche ist „Bring Your Own Vulnerable Driver“ mittlerweile mehr als nur ein Problem, das sich mit Patches beheben lässt. Es weist auf ein tiefer liegendes Vertrauensproblem auf architektonischer Ebene hin, das damit zusammenhängt, wie Windows signierte Kernel-Treiber behandelt, und mit den Annahmen, die auf diesem Modell aufbauen. Jede sinnvolle Reaktion beginnt mit einem klaren Verständnis dafür, wie sich BYOVD auf die Kontrollmechanismen auswirkt, auf die Sie sich verlassen.
TL;DR: Die wichtigsten Erkenntnisse
- Eine Untersuchung von ESET ergab, dass 54 von fast 90 bekannten EDR-Killer-Tools BYOVD nutzen und dabei 35 verschiedene anfällige, signierte Treiber ausnutzen, um Zugriff auf Kernel-Ebene zu erlangen.
- Mit BYOVD können Angreifer EDR-Prozesse beenden, Kernel-Callbacks deregistrieren und die Telemetrie deaktivieren, noch bevor eine Ransomware-Nutzlast überhaupt ausgeführt wird.
- Ein mehrschichtiges Sicherheitskonzept versagt, wenn alle Schichten auf demselben Host-Betriebssystem laufen; eine einzige Kompromittierung des Kernels kann den gesamten Stack auf einen Schlag lahmlegen
- Bei der emulationsbasierten Sandbox-Technologie werden Dateien auf einer isolierten Infrastruktur außerhalb des Kernel-Bereichs des Hosts analysiert, sodass ein deaktivierter EDR-Agent die Erstellung eines Befunds nicht verhindern kann.
- MetaDefender bietet eine Erkennungsrate von 99,9 % bei Zero-Day-Angriffen – und das bei einer 20-mal höheren Geschwindigkeit als herkömmliche Sandboxen sowie einer 100-mal höheren Ressourceneffizienz im Vergleich zu VM-basierten Ansätzen.
- Rahmenwerke wie NIS2, CMMC, NERC CIP und IEC 62443 verlangen, dass Schutzmaßnahmen auch unter widrigen Bedingungen wirksam bleiben, was eine einzelne, BYOVD-deaktivierte Steuerung nicht gewährleisten kann
- Bei einer bestätigten Analyse eines aktiven BYOVD-Toolkits wurden „VBoxDrv.sys“ und „Shark.sys“ als SCHÄDLICH eingestuft, noch bevor eine Komponente ausgeführt werden konnte, was zeigt, dass diese Technik derzeit aktiv gegen Ziele in den USA eingesetzt wird.
Was ist ein BYOVD-Angriff und wie wird dadurch EDR außer Kraft gesetzt?
Die Technik selbst ist nicht schwer umzusetzen, doch ihre Folgen lassen sich nur schwer eindämmen. Sobald ein Angreifer auf Kernel-Ebene agiert, versagt die verhaltensbasierte Erkennung, da der Sensor nicht mehr vorhanden ist. Die Scan- und Erkennungskomponenten des EDR versagen aus demselben Grund, und die Annahme, dass Erkennungstools in entscheidenden Momenten vorhanden und funktionsfähig sind, erweist sich zunehmend als unzutreffend.
Laut ESET nutzen 54 der fast 90 von dem Unternehmen dokumentierten EDR-Killer-Tools speziell BYOVD, da diese Technik zuverlässig ist und insgesamt 35 anfällige Treiber ausnutzt. Der ESET-Forscher Jakub Souček wies darauf hin, dass Ransomware-as-a-Service-Betreiber häufig neue Versionen ihres Verschlüsselungsprogramms erstellen und dass BYOVD-basierte Killer es ihnen ermöglichen, dieses Verschlüsselungsprogramm einfach und unentdeckt zu halten, während eine separate Komponente die Umgehung von Abwehrmaßnahmen übernimmt.
Die Nutzung von „PoisonX“ durch die Hyadina-Gruppe – einem Kernel-Treiber, der auf GitHub als Forschungswerkzeug veröffentlicht und wenige Wochen später bei aktiven Ransomware-Angriffen eingesetzt wurde – zeigt, wie schnell diese Tools den Sprung vom Proof-of-Concept zum operativen Einsatz schaffen. „Erst die Abwehrmaßnahmen aushebeln, dann verschlüsseln“ ist längst keine Technik mehr, die nur versierten Angreifern vorbehalten ist.
Sicherheitsverantwortliche sollten mit ihren Vorständen direktere Gespräche darüber führen, was dies bedeutet. EDR ist nach wie vor eine entscheidende Kontrollmaßnahme, doch es wird immer schwieriger zu rechtfertigen, es als letzte Verteidigungslinie zu betrachten.
Warum die mehrschichtige Verteidigung gegen BYOVD versagt
Das Prinzip der mehrschichtigen Verteidigung (Defense-in-Depth) geht davon aus, dass keine einzelne Kontrollmaßnahme als letzte Verteidigungslinie fungiert und dass die Architektur dem Ausfall einzelner Schichten Rechnung trägt. In der Praxis setzen viele Unternehmen mehrere Endpunkt-Tools ein, die dieselbe zugrunde liegende Abhängigkeit teilen: das Host-Betriebssystem. Wird dieses Betriebssystem auf Kernel-Ebene kompromittiert, kann der gesamte Stack auf einen Schlag gefährdet sein.
Das Kernproblem ist die gemeinsame Angriffsfläche, nicht die Anzahl der eingesetzten Tools. Ein Angreifer, der BYOVD-fähig ist, muss nicht jede Kontrollmaßnahme einzeln umgehen. Durch das Laden und Ausnutzen eines einzigen anfälligen Treibers zur Ausführung auf Kernel-Ebene kann der Angreifer EDR-Callbacks deregistrieren und Agent-Prozesse beenden, bevor die auf dem Host residierende Erkennung eine sinnvolle Chance hat, darauf zu reagieren.
Das Blockieren anfälliger Treiber ist ein notwendiger Schritt, weist jedoch ein strukturelles Verzögerungsproblem auf. Wie die Symantec-Forscherin Brigid O Gorman erklärt, vergeht in der Regel eine Zeitspanne von mehreren Tagen, häufiger sogar Wochen, zwischen der Identifizierung eines Treibers und dem Erreichen der aktualisierten Sperrliste auf den Endgeräten in Unternehmen. Mit anderen Worten: Angreifer sind regelmäßig schneller als die Liste. PoisonX wurde im April 2026 veröffentlicht und bereits im Juli bei einem aktiven Ransomware-Angriff eingesetzt. Angreifer, die wissen, dass dieses Zeitfenster existiert, werden es weiterhin ausnutzen.
Um diese Lücke zu schließen, ist eine Analyse erforderlich, die außerhalb der von BYOVD ins Visier genommenen Angriffsflächen stattfindet: Bestimmte Arten der Bedrohungsprüfung werden vom Endgerät in eine isolierte Ebene verlagert, die von einer Kompromittierung auf Kernel-Ebene nicht erreicht werden kann, um Dateien vor ihrer Ausführung zu überprüfen. An diesem Punkt verlagert sich der Fokus der architektonischen Diskussion von der Absicherung der Endgeräte hin zur Überprüfung vor der Ausführung.
Wie emulationsbasiertes Sandboxing Dateien außerhalb der „Kill Zone“ analysiert
„EDR-Killer überlisten den Sensor nicht, sie entfernen ihn einfach – und alles, was davon abhängt, fällt damit ebenfalls weg“, sagt Jack Madine, Senior Product Manager bei OPSWAT.MetaDefender schließt diese Lücke, indem es die Analyse abschließt, bevor die Datei überhaupt den Host erreicht, den sie sonst täuschen könnte.“
MetaDefender ist die KI-basierte Entscheidungsengine OPSWAT zur Erkennung von Zero-Day-Angriffen am Netzwerkperimeter, die auf Anwendungsemulation statt auf herkömmlichen virtuellen Maschinen basiert. Dieser Unterschied ist für BYOVD von unmittelbarer Bedeutung, da die Analyseumgebung zu keinem Zeitpunkt vom Zustand des Endgeräts abhängt, das sie schützt.
VM-basierte Sandboxen lassen sich identifizieren. Fortgeschrittenere Malware erkennt häufig virtualisierte Umgebungen und unterdrückt bösartiges Verhalten, wodurch Dateien, die eigentlich nicht harmlos sind, als „sauber“ eingestuft werden. Die VM-Infrastruktur schafft zudem eine eigene Angriffsfläche, die entschlossene Angreifer ausloten oder umgehen können; in manchen Fällen wird die Sandbox selbst zum Ziel.
Die fünfstufige Pipeline MetaDefender verfolgt einen anderen Ansatz. Stufe 1, „Threat Reputation“, überprüft URLs, IP-Adressen und Domains in Echtzeit anhand bekannter Indikatoren für Kompromittierungen. Stufe 2, „PredictiveAlin AI/ML & Static Analysis“, prognostiziert anhand von Machine-Learning-Modellen und einer tiefgehenden statischen Analyse die Schädlichkeit bisher unbekannter Dateien und erkennt Zero-Day-Bedrohungen, bevor Code ausgeführt wird.
Ebene 3, „Dynamic Analysis“, emuliert das Anwendungsverhalten auf Befehlsebene in einer isolierten Umgebung, die außerhalb des Kernel-Bereichs des Hosts auf einer separaten Infrastruktur ausgeführt wird. Ebene 4, „Threat Scoring“, korreliert Verhaltensindikatoren zu einer vertrauensbasierten Risikobewertung, und Ebene 5, „Threat Hunting“, ordnet die Ergebnisse dem MITRE ATT&CK-Modell zu und führt eine auf maschinellem Lernen basierende Ähnlichkeitssuche durch, um Malware-Familien und -Kampagnen aufzudecken.
In einer bestätigten Analyse eines aktiven BYOVD-EDR-Killers hat MetaDefender das Toolkit erkannt, noch bevor eine Komponente ausgeführt werden konnte. Ein ordnungsgemäß signierter VirtualBox-Treiber (VBoxDrv.sys) – ein Treiber eines Drittanbieters, der bekanntermaßen anfällig ist und häufig zur Ausweitung von Berechtigungen auf Kernel-Ebene missbraucht wird – wurde mit voller Sicherheit als „MALICIOUS“ (bösartig) eingestuft und als BYOVD gekennzeichnet, ebenso wie ein zweiter bösartiger Kernel-Treiber (Shark.sys) und der Loader (Sea.exe), der zu deren Bereitstellung entwickelt wurde.
Da das Ergebnis durch eine Emulation auf Befehlsebene auf einer isolierten Infrastruktur ermittelt wird, gilt es unabhängig davon, ob ein Endpunkt-Agent auf dem Host noch aktiv ist. Genau diese Situation soll durch BYOVD beseitigt werden.
Diese Trennung bedeutet keine lückenlose Abdeckung; keine einzelne Kontrollmaßnahme kann dies gewährleisten. Mit einer Erkennungsrate von 99,9 % bei Zero-Day-Angriffen und einer 100-mal höheren Ressourceneffizienz als bei VM-basiertem Sandboxing bietet MetaDefender diese Überprüfungsschicht ohne den Infrastrukturaufwand, der herkömmliche Sandboxen im großen Maßstab betrieblich unpraktikabel macht. Das Ziel besteht nicht darin, den Endpunktschutz zu ersetzen. Vielmehr soll sichergestellt werden, dass im Falle einer Umgehung des Endpunktschutzes eine vorgelagerte Schutzebene bereits ihre Aufgabe erfüllt hat.
Warum Resilienz eine Compliance-Verpflichtung und keine Designentscheidung ist
Für Organisationen, die nach NIS2, CMMC, NERC CIP oder IEC 62443 arbeiten, ist Resilienz mit festgelegten Kontrollanforderungen verbunden und nicht nur eine architektonische Absicht. Diese Rahmenwerke verlangen, dass kritische Systeme ihre Schutzfunktionen auch unter widrigen Bedingungen aufrechterhalten. Eine Architektur, in der eine einzelne BYOVD-Technik eine primäre Erkennungskontrolle außer Kraft setzen kann, wird diesen Erwartungen wahrscheinlich nicht gerecht, insbesondere bei einer Nachprüfung nach einem Vorfall.
Eine vor der Ausführung durchgeführte Analyse, die unabhängig vom Zustand der Endgeräte arbeitet, unterstützt diese Anforderungen an die Ausfallsicherheit direkt. Sie liefert zudem die Artefakte, die für die Compliance-Berichterstattung in der Regel erforderlich sind: Indikatoren für Kompromittierungen, identifizierte TTPs (Taktiken, Techniken und Verfahren) sowie Risikobewertungen, die Sicherheitsteams den Vorständen und Aufsichtsbehörden als Nachweis für funktionierende, mehrschichtige Kontrollmaßnahmen vorlegen können. Diese Nachweise haben mehr Gewicht als die Dokumentation von Kontrollmaßnahmen, die zwar implementiert, später jedoch umgangen wurden.
OPSWAT genießt das Vertrauen von mehr als 2.100 Organisationen, Regierungen und Institutionen weltweit, darunter 98 % der US-amerikanischen Kernkraftwerke, und OPSWAT seine Plattform auf einem klaren Grundsatz aufgebaut: „Trust no file. Trust no device.™“ Genau diesen Grundsatz nutzen BYOVD-Angriffe aus, wenn Organisationen ihn auf den Endgeräten außer Acht lassen.
Warum die Prüfgeschwindigkeit darüber entscheidet, ob dies auch im großen Maßstab funktioniert
„Defense-in-Depth“ bleibt reine Theorie, wenn dadurch Latenzzeiten entstehen, die der Betrieb nicht auffangen kann. In Umgebungen mit hohem Durchsatz, wie beispielsweise im Finanzwesen, im Verteidigungsbereich und bei kritischen Infrastrukturen, ist es nicht möglich, jede Datei durch eine Sandbox zu leiten, deren Beurteilung mehrere Minuten dauert. Wenn eine Prüfebene zum Engpass wird, finden die Teams Wege, diese zu umgehen, und die Lücke, die eigentlich geschlossen werden sollte, öffnet sich wieder.
Die Emulationsarchitektur MetaDefender ist auf diese Vorgabe ausgerichtet. Der im Vergleich zu VM-basiertem Sandboxing geringere Ressourcenbedarf in Verbindung mit einer 20-mal höheren Analysegeschwindigkeit als bei herkömmlichen Sandboxes ermöglicht es, die Überprüfung auf das Dateivolumen von Unternehmen in E-Mail-Pipelines, Workflows für die verwaltete Dateiübertragung und Gateway-Prüfstellen zu skalieren. Diese Geschwindigkeit macht die Überprüfung vor der Ausführung zu einer praktikablen Standardmaßnahme im Betriebsablauf und nicht nur zu einer Maßnahme, die erst nach einem Vorfall zum Einsatz kommt.
Eine Sicherheitsarchitektur, die auch unter Druck standhält, sieht oft anders aus als eine, die nur auf dem Papier funktioniert. Angreifer, die BYOVD-Techniken einsetzen, nutzen die Lücke zwischen dokumentierten Kontrollmaßnahmen und der betrieblichen Realität aus. Diese Lücke zu schließen, indem die Überprüfung in einer Ebene platziert wird, die für Angriffe auf Kernel-Ebene schwer erreichbar ist, und sie mit der Geschwindigkeit auszuführen, die die Umgebung erfordert – genau das sorgt dafür, dass die Architektur in der Praxis funktioniert.
Dokumentierte Angriffe haben die Frage geklärt, ob EDR deaktiviert werden kann. Das ist möglich und wurde bereits wiederholt getan. Nun stellt sich die Frage, wie die Bedrohung erkannt werden kann, bevor sie zum Tragen kommt. Erfahren Sie, wie MetaDefender eine Überprüfung vor der Ausführung ermöglicht, die unabhängig vom Status des Endgeräts funktioniert.
Weiterführende Literatur
MetaDefender ProduktseiteMetaDefender
: Verwandter Blogbeitrag: Ausweichende Malware hat die herkömmliche VM-basierte Erkennung überholt
: Kundenbericht: Globales Finanzinstitut verlagert den Zero-Day-Schutz mit MetaDefender nach vorne
Häufig gestellte Fragen
Was ist ein BYOVD-Angriff?
BYOVD (Bring Your Own Vulnerable Driver) ist eine Technik, bei der Angreifer einen legitimen, signierten, aber anfälligen Kernel-Treiber laden, um Ring-0-Rechte zu erlangen. Anschließend nutzen sie diesen Zugriff, um EDR-Prozesse zu beenden, die Telemetrie zu deaktivieren und den Weg für eine Ransomware-Nutzlast frei zu machen.
Wie viele EDR-Killer-Tools nutzen BYOVD?
Laut ESET stützen sich 54 von fast 90 dokumentierten EDR-Killer-Tools auf BYOVD und nutzen 35 verschiedene anfällige, signierte Treiber aus, um Zugriff auf Kernel-Ebene zu erlangen.
Kann das Blockieren anfälliger Treiber BYOVD-Angriffe verhindern?
Das Blockieren verhindert zwar den Einsatz bekannter anfälliger Treiber, doch Angreifer wechseln zu signierten Treibern, die noch nicht auf der Liste stehen, und versiertere Angreifer nutzen Zero-Day-Schwachstellen in Treibern, die Microsoft und EDR-Anbietern unbekannt sind und die die Blockierung vollständig umgehen.
Warum sind VM-basierte Sandboxen anfällig für Umgehungsversuche?
VM-basierte Sandboxen lassen sich identifizieren, und hochentwickelte Malware erkennt häufig die virtualisierte Umgebung und unterdrückt bösartiges Verhalten, um ein „sauberes“ Ergebnis zu erzielen, obwohl die Datei nicht harmlos ist.
Wie schützt emulationsbasiertes Sandboxing vor BYOVD-Angriffen?
Emulationsbasiertes Sandboxing, wie beispielsweise MetaDefender , analysiert Dateien auf einer isolierten Infrastruktur, die außerhalb des Kernel-Bereichs des Hosts ausgeführt wird. Ein BYOVD-Angriff, der den EDR-Agenten des Endgeräts deaktiviert, findet keinen Zugang zu dieser separaten Analyseumgebung, sodass die Überprüfung und die Ausgabe des Befunds unabhängig vom Zustand des Hosts fortgesetzt werden.
Ersetzt die Überprüfung vor der Ausführung EDR?
Nein. EDR bleibt ein wichtiger Kontrollmechanismus innerhalb der Gesamtarchitektur. Die Überprüfung vor der Ausführung fügt eine zusätzliche Ebene hinzu, die ihre Aufgabe erfüllt, bevor ein Angreifer die Möglichkeit hat, hostbasierte Kontrollmechanismen zu deaktivieren. Damit unterstützt sie eine mehrschichtige Widerstandsfähigkeit, anstatt den Endpunkt-Schutz zu ersetzen.
