I Framework Ransomware che Disabilitano l'EDR Richiedono una Difesa a Strati
I gruppi ransomware hanno riscritto silenziosamente le regole dei propri attacchi. Invece di correre a crittografare i file prima che gli strumenti di sicurezza possano rispondere, molti stanno adottando un primo passo più calcolato: disabilitare completamente quegli strumenti. L'aumento di strategie di difesa ransomware basate sulla disabilitazione dell'EDR mette in discussione un presupposto fondamentale che ha plasmato la sicurezza aziendale per anni, ovvero che il software di endpoint detection and response (EDR) funga da ultima linea di protezione affidabile.
Quando gli attaccanti possono neutralizzare quel livello prima ancora che l'attacco inizi, l'intero modello di sicurezza richiede un riesame.
Come Funzionano i Framework che Disabilitano l'EDR e Perché si Stanno Diffondendo
Il software EDR funziona monitorando il comportamento dei processi, l'attività dei file e le chiamate di rete a livello di endpoint. Può segnalare schemi sospetti in tempo reale e avvisare i team di sicurezza o mettere automaticamente in quarantena le minacce. Proprio questa visibilità è ciò che gli attaccanti vogliono eliminare.
I framework che disabilitano l'EDR, talvolta chiamati "EDR killer", sfruttano tipicamente una classe di vulnerabilità legata a driver legittimi ma vulnerabili. Poiché Windows concede un'elevata fiducia a determinati driver a livello kernel firmati, gli attaccanti caricano un driver vulnerabile sulla macchina bersaglio e lo usano come veicolo per terminare o accecare i processi di sicurezza in esecuzione nello spazio utente. Questa tecnica, conosciuta in generale come Bring Your Own Vulnerable Driver (BYOVD), è stata adottata da molteplici operazioni ransomware, tra cui RansomHub, che ha impiegato lo strumento EDRKillShifter in catene di attacchi documentate.
Il fascino per gli attaccanti è evidente. Una volta neutralizzato l'EDR, le restanti fasi dell'attacco, tra cui movimento laterale, esfiltrazione dei dati e crittografia dei file, possono procedere con un rischio significativamente ridotto di rilevamento o interruzione. Il team di sicurezza non vede nulla finché non è troppo tardi.
Questi framework si stanno diffondendo anche perché la barriera all'ingresso si sta abbassando. I toolkit vengono mercificati e condivisi all'interno degli ecosistemi di ransomware-as-a-service, il che significa che gruppi con una sofisticazione tecnica limitata possono ora impiegarli insieme ai loro payload.
Cosa Succede Quando la Sicurezza degli Endpoint Viene Meno
La conseguenza immediata di un'uccisione riuscita dell'EDR è un blackout della visibilità sull'endpoint. I team del centro operativo di sicurezza (SOC) perdono la telemetria. Le regole di risposta automatica smettono di attivarsi. I presupposti su cui si basano i playbook di risposta agli incidenti non sono più validi.
Non si tratta solo di un problema tecnico. È un problema organizzativo. Molti programmi di sicurezza sono stati architettati attorno all'idea che l'EDR fornisca un livello di rilevamento affidabile. Quando quel livello scompare, i team privi di controlli compensativi si trovano a rispondere a un attacco che non potevano vedere arrivare.
Il modello più ampio qui si collega a un cambiamento nel modo in cui gli attaccanti ottengono l'accesso iniziale. Come ha rilevato il Verizon 2026 Data Breach Investigations Report, le vulnerabilità software hanno superato le credenziali rubate come principale punto di ingresso nelle violazioni. Gli attaccanti sfruttano i difetti del software per ottenere accesso, quindi impiegano strumenti per disabilitare l'EDR per rimuovere la visibilità, prima di eseguire il loro payload principale. Le due tendenze si rafforzano a vicenda.
Le organizzazioni sanitarie sono particolarmente esposte. Le conseguenze di un vuoto di visibilità in un settore che fa affidamento su sistemi sempre disponibili sono gravi, come dimostrato da incidenti come la violazione di ChipSoft, che ha evidenziato come una crittografia inadeguata aggravi i danni quando le difese vengono aggirate.
Perché le Difese a Livello di Rete Colmano il Divario
La sicurezza degli endpoint e la sicurezza a livello di rete non sono ridondanti. Osservano cose diverse. Anche quando un EDR è accecato, il traffico di rete continua a fluire e quel traffico trasporta segnali.
Gli strumenti di network detection and response (NDR) monitorano il traffico east-west all'interno del perimetro di rete, i modelli di movimento laterale, le query DNS insolite e le connessioni in uscita inaspettate. Fondamentalmente, operano indipendentemente dall'agente endpoint. Un attaccante che termina un processo EDR non ha un meccanismo diretto per accecare simultaneamente l'infrastruttura di monitoraggio di rete.
Le VPN e i tunnel crittografati svolgono un ruolo di supporto in questo quadro. A livello organizzativo, richiedere che tutto il traffico passi attraverso un gateway VPN monitorato significa che, anche se un endpoint è compromesso, il percorso di rete rimane visibile e soggetto all'applicazione delle policy. Le architetture di accesso alla rete zero-trust (ZTNA) estendono ulteriormente questo concetto, richiedendo una verifica continua a livello di rete, non solo al momento del login iniziale.
Per i lavoratori remoti e i team distribuiti, l'applicazione della VPN garantisce inoltre che il traffico proveniente da endpoint potenzialmente compromessi non aggiri completamente i controlli perimetrali. Il livello di rete diventa un punto di ispezione secondario che il malware che disabilita l'EDR non può semplicemente terminare.
Passi Pratici: Stratificare VPN e Crittografia Insieme all'EDR
Un'architettura di sicurezza resiliente tratta l'EDR come uno strato tra i tanti, non come l'unico meccanismo di rilevamento. Ecco alcuni passi concreti che le organizzazioni possono intraprendere per ridurre l'esposizione agli attacchi di neutralizzazione dell'EDR.
Verifica la policy dei driver. Windows Defender Application Control (WDAC) può essere configurato per bloccare i driver noti come vulnerabili prima che vengano caricati. Microsoft mantiene un elenco di blocchi che dovrebbe essere applicato attivamente e mantenuto aggiornato. Questo colpisce direttamente la tecnica BYOVD alla fonte.
Abilita la protezione anti-manomissione dell'EDR. La maggior parte delle principali piattaforme EDR include funzionalità di protezione anti-manomissione che rendono significativamente più difficile terminare l'agente dallo spazio utente. Queste funzionalità non sono sempre abilitate per impostazione predefinita e dovrebbero essere verificate come parte di qualsiasi audit di sicurezza.
Investi nella visibilità a livello di rete. Se il tuo stack attuale si basa pesantemente sulla telemetria degli endpoint, aggiungi NDR o analisi dei flussi di rete per fornire un canale di rilevamento indipendente. Ciò garantisce che i movimenti laterali e i tentativi di esfiltrazione rimangano visibili anche quando gli endpoint sono compromessi.
Applica VPN o ZTNA per tutti gli accessi remoti. Richiedere che il traffico attraversi un gateway monitorato aggiunge un punto di ispezione secondario. Combina questo con politiche di comunicazione crittografata per garantire che anche il traffico intercettato non fornisca dati utilizzabili a un attaccante.
Esegui esercitazioni pratiche che presuppongono il fallimento dell'EDR. I piani di risposta agli incidenti che presumono che l'EDR sia sempre operativo falliranno proprio negli scenari in cui sono più necessari. Esercitati a rispondere a scenari in cui la telemetria degli endpoint non è disponibile.
Gli operatori ransomware hanno chiarito la loro strategia: rimuovere gli strumenti progettati per fermarli prima di distribuire il loro payload. Le organizzazioni che se la caveranno meglio sono quelle che non fanno affidamento su un singolo strato per sostenere l'intero onere difensivo. Questo è il momento di verificare il proprio stack di sicurezza, confermare che siano presenti controlli compensativi a livello di rete e assicurarsi che i piani di risposta agli incidenti contemplino un mondo in cui gli strumenti endpoint potrebbero non esserci quando più ne hai bisogno.
