Техника обходит проверку доступа через конфигурацию службы в реестре, а от атакующего требуются только права на создание служб. Подпись 2011 года не мешает ядру принять драйвер.
Описание
29 июня 2026 года исследователь безопасности Jehad Abudagga, известный также как redteamfortress, выложил на GitHub прототип эксплойта DefenderKiller. Техника опирается на драйвер KSLDriver версии 1.1.0013.0, связанный с защитой Microsoft от вредоносных программ. Подпись драйвера датируется 2011 годом, однако механизм проверки драйверов в Windows принимает его и в актуальной сборке Windows 11. После загрузки в ядро драйвер способен останавливать процессы защитного ПО.
Схема относится к классу BYOVD - использование собственного уязвимого драйвера (Bring Your Own Vulnerable Driver). Такие инструменты не переносят вредоносный код в систему, а задействуют уже подписанный компонент. Приём известен давно: драйвер работает в ядре, поэтому средства обнаружения и реагирования на конечных точках (EDR) не контролируют его действия. Позже аналитики Flashpoint по данным компании обнаружили 13 публично доступных образцов на основе DefenderKiller, включая обфусцированные версии. Правки в исходный код показывают, что прототип подхватили и переработали под себя. Сведений о применении этих образцов в подтверждённых атаках нет.
Сам по себе драйвер не атакует: он исполняет запросы того процесса, которому разрешил доступ. В конфигурации службы в реестре задан список таких процессов, и по умолчанию он ограничивает круг системной учётной записью и администраторами. Злоумышленник с такими правами вписывает в конфигурацию свой процесс ещё до запуска драйвера, поэтому проверка пути к образу превращается в формальность. Дальше достаточно передать идентификатор цели: драйвер получает объект процесса в ядре и завершает его, хотя из пользовательского режима такой процесс снять нельзя. Права администратора - единственное условие, и их можно добыть через локальное повышение привилегий.
Агент EDR полезен до тех пор, пока его процесс жив. Как только драйвер его завершает, события на машине перестают попадать в телеметрию. Дальше активность развивается без контроля: шифрование файлов, сбор данных, закрепление в системе. Затронуты рабочие станции и серверы под Windows, где защиту обеспечивают такие агенты, причём драйвер грузится и на свежей сборке Windows 11. Возраст подписи ничего не говорит о том, какие функции он открывает пользовательскому режиму.
Версии с исправлением в отчёте нет, официальную позицию Microsoft источник не приводит. Обходных мер вендор не называл. Flashpoint рекомендует наблюдать за установкой драйверов в ядро, изменениями в конфигурации служб и завершением защитных процессов вскоре после загрузки драйвера. Полезный контекст даёт корреляция таких событий с созданием подозрительных служб и правками реестра. Без этих данных эпизод с загрузкой драйвера легко пропустить среди штатной активности.
Драйверу 15 лет, а ядро свежей сборки Windows 11 принимает его без возражений. Пока подпись действительна, а доступ к функциям завершения процессов регулируется через реестр, техника работает без новой уязвимости. Публичный прототип снижает порог входа: собрать вариант под свою задачу теперь может и не самый квалифицированный исполнитель. Аналитики Flashpoint предполагают, что росту интереса к BYOVD способствуют большие языковые модели (LLM): писать код для пользовательского и ядерного режимов стало проще. Подтверждённых атак с DefenderKiller нет, но 13 образцов в открытом доступе - уже не единичный эксперимент.
Индикаторы компрометации
