Trong số khoảng 90 công cụ tấn công EDR đã được ghi nhận và đang được sử dụng rộng rãi trong thực tế, có 54 công cụ dựa trên cùng một kỹ thuật cốt lõi: BYOVD. Một trình điều khiển nhân hệ thống được ký hợp lệ nhưng có lỗ hổng sẽ được tải vào hệ thống và sau đó bị khai thác để giành quyền truy cập ở cấp độ nhân hệ thống. Từ đó, kẻ tấn công có thể ngắt hoạt động của tác nhân EDR hoặc loại bỏ các hàm gọi lại (callbacks) và các nhà cung cấp ETW (Event Tracing for Windows) trước khi bất kỳ tải trọng ransomware nào được kích hoạt. Đây là một kịch bản tấn công đã được ghi nhận mà các đối tượng xấu đang nhắm vào các môi trường doanh nghiệp hiện nay.
Vào tháng 7 năm 2026, các nhà nghiên cứu đã ghi nhận chiến dịch ransomware GodDamn – vốn là tên gọi mới của nhóm ransomware-as-a-service Hyadina – khi nhóm này tải trình điều khiển PoisonX đã được ký số để ngắt các quy trình bảo mật và gỡ bỏ API ở chế độ người dùng trước khi triển khai tải trọng độc hại. Các cuộc xâm nhập này đã thực hiện đầy đủ các bước trong kịch bản tấn công: sử dụng AnyDesk để truy cập từ xa, bộ công cụ thu thập thông tin đăng nhập dựa trên NirSoft, và sau đó là việc ngắt các tiến trình ở cấp nhân hệ điều hành nhằm vào các mục tiêu trong lĩnh vực y tế, sản xuất và giáo dục của Hoa Kỳ.
Đối với các nhà lãnh đạo an ninh, hiện tượng “Bring Your Own Vulnerable Driver” (BYOVD) đã vượt ra ngoài phạm vi có thể giải quyết chỉ bằng các bản vá lỗi. Điều này cho thấy một vấn đề niềm tin sâu sắc hơn ở cấp độ kiến trúc, liên quan đến cách Windows xử lý các trình điều khiển nhân hệ thống có chữ ký và những giả định được xây dựng dựa trên mô hình đó. Bất kỳ phản ứng có ý nghĩa nào cũng phải bắt đầu từ việc hiểu rõ tác động của BYOVD đối với các biện pháp kiểm soát mà bạn đang dựa vào.
TL;DR: Những điểm chính cần lưu ý
- Nghiên cứu của ESET cho thấy 54 trong số gần 90 công cụ “EDR killer” đã biết sử dụng BYOVD, khai thác 35 trình điều khiển đã ký có lỗ hổng khác nhau để đạt được quyền truy cập ở cấp nhân hệ điều hành
- BYOVD cho phép những kẻ tấn công chấm dứt các tiến trình EDR, hủy đăng ký các hàm gọi lại của nhân hệ điều hành và vô hiệu hóa tính năng thu thập dữ liệu trước khi phần tải của phần mềm tống tiền kịp được thực thi
- Chiến lược phòng thủ đa tầng sẽ thất bại khi mọi lớp đều chạy trên cùng một hệ điều hành máy chủ; chỉ cần nhân hệ điều hành bị xâm nhập là toàn bộ hệ thống có thể bị vô hiệu hóa ngay lập tức
- Công nghệ sandboxing dựa trên mô phỏng phân tích các tệp trên một hạ tầng được cách ly bên ngoài không gian nhân của máy chủ, do đó, một tác nhân EDR bị vô hiệu hóa không thể ngăn cản việc đưa ra kết luận
- MetaDefender mang lại hiệu quả phát hiện các lỗ hổng zero-day lên tới 99,9%, với tốc độ nhanh gấp 20 lần so với các hệ thống sandbox truyền thống, đồng thời có hiệu suất sử dụng tài nguyên cao gấp 100 lần so với các phương pháp dựa trên máy ảo (VM)
- Các khung tiêu chuẩn bao gồm NIS2, CMMC, NERC CIP và IEC 62443 yêu cầu các khả năng bảo vệ phải duy trì được trong điều kiện bất lợi, điều mà một cơ chế điều khiển duy nhất bị vô hiệu hóa bởi BYOVD không thể đáp ứng được
- Trong một phân tích đã được xác nhận đối với bộ công cụ BYOVD đang hoạt động, các tệp VBoxDrv.sys và Shark.sys đã bị xác định là MẠNH HẠI trước khi bất kỳ thành phần nào có thể được thực thi, cho thấy kỹ thuật này hiện đang được sử dụng tích cực nhằm vào các mục tiêu tại Hoa Kỳ
Tấn công BYOVD là gì và nó vô hiệu hóa EDR như thế nào?
Bản thân kỹ thuật này không phức tạp để thực hiện, nhưng hậu quả của nó rất khó kiểm soát. Một khi kẻ tấn công hoạt động ở cấp độ nhân hệ điều hành, cơ chế phát hiện dựa trên hành vi sẽ thất bại vì cảm biến không còn tồn tại. Các thành phần quét và phát hiện của EDR cũng thất bại vì lý do tương tự, và giả định rằng các công cụ phát hiện sẽ có mặt và hoạt động khi cần thiết nhất bắt đầu sụp đổ.
Theo ESET, trong số gần 90 công cụ vô hiệu hóa EDR mà công ty này đã ghi nhận, có 54 công cụ sử dụng BYOVD cụ thể vì kỹ thuật này đáng tin cậy, khai thác tổng cộng 35 trình điều khiển có lỗ hổng. Nhà nghiên cứu Jakub Souček của ESET lưu ý rằng các nhà điều hành dịch vụ ransomware-as-a-service thường xuyên phát hành các phiên bản mã hóa mới, và các công cụ vô hiệu hóa dựa trên BYOVD cho phép họ giữ cho trình mã hóa đó đơn giản và không bị phát hiện, trong khi một thành phần riêng biệt đảm nhiệm việc né tránh hệ thống phòng thủ.
Việc nhóm Hyadina sử dụng PoisonX — một trình điều khiển nhân hệ điều hành được đăng tải lên GitHub dưới dạng công cụ nghiên cứu, sau đó được sử dụng vài tuần sau đó trong các cuộc tấn công ransomware thực tế — cho thấy tốc độ nhanh chóng mà các công cụ này chuyển từ giai đoạn chứng minh khái niệm sang triển khai thực tế. Chiến thuật “trước tiên làm tê liệt hệ thống phòng thủ, sau đó mới mã hóa” không còn là kỹ thuật chỉ dành riêng cho các nhóm tấn công tinh vi nữa.
Các nhà lãnh đạo an ninh nên có những cuộc trao đổi trực tiếp hơn với hội đồng quản trị về những hệ quả của vấn đề này. EDR vẫn là một biện pháp kiểm soát quan trọng, nhưng việc coi nó như tuyến phòng thủ cuối cùng đang ngày càng khó biện minh.
Tại sao chiến lược phòng thủ đa tầng lại thất bại trước mô hình BYOVD?
Mô hình phòng thủ đa tầng dựa trên giả định rằng không có biện pháp kiểm soát nào đóng vai trò là tuyến phòng thủ cuối cùng, và kiến trúc hệ thống phải tính đến khả năng bất kỳ lớp nào cũng có thể bị thất bại. Trên thực tế, nhiều tổ chức triển khai nhiều công cụ bảo vệ điểm cuối cùng chia sẻ một yếu tố phụ thuộc cơ bản chung: hệ điều hành máy chủ. Nếu hệ điều hành đó bị xâm phạm ở cấp độ nhân hệ điều hành, toàn bộ hệ thống có thể bị lộ lỗ hổng cùng một lúc.
Vấn đề cốt lõi nằm ở diện tích tấn công chung, chứ không phải số lượng công cụ được triển khai. Một kẻ tấn công có khả năng thực hiện BYOVD không cần phải vượt qua từng biện pháp kiểm soát một cách riêng lẻ. Chỉ cần tải và khai thác một trình điều khiển có lỗ hổng để thực thi ở cấp nhân hệ điều hành là kẻ tấn công đã có thể hủy đăng ký các hàm gọi lại của EDR và chấm dứt các tiến trình của tác nhân trước khi hệ thống phát hiện trên máy chủ có cơ hội phản ứng hiệu quả.
Việc đưa các trình điều khiển dễ bị tấn công vào danh sách chặn là một bước cần thiết, nhưng nó gặp phải vấn đề về độ trễ cấu trúc. Như nhà nghiên cứu Brigid O Gorman của Symantec giải thích, thường có khoảng cách vài ngày, thậm chí thường là vài tuần, giữa thời điểm một trình điều khiển được xác định và bản cập nhật danh sách chặn đến được các thiết bị đầu cuối của doanh nghiệp. Nói cách khác, những kẻ tấn công thường hành động nhanh hơn so với danh sách này. PoisonX được công bố vào tháng 4 năm 2026 và đã được sử dụng trong một cuộc tấn công ransomware thực tế vào tháng 7. Những kẻ điều hành biết rằng khoảng thời gian này tồn tại sẽ tiếp tục khai thác nó.
Để thu hẹp khoảng cách này, cần có phương pháp phân tích hoạt động bên ngoài phạm vi tấn công mà BYOVD nhắm đến: chuyển một số loại kiểm tra mối đe dọa ra khỏi thiết bị đầu cuối, sang một lớp cách ly mà các cuộc tấn công xâm nhập cấp nhân hệ điều hành không thể tiếp cận, nhằm đánh giá các tệp trước khi chúng được thực thi. Lúc đó, trọng tâm của cuộc thảo luận về kiến trúc sẽ chuyển từ việc tăng cường bảo mật cho thiết bị đầu cuối sang việc kiểm tra trước khi thực thi.
Cách thức mà cơ chế Sandboxing dựa trên mô phỏng phân tích các tệp nằm ngoài “vùng tiêu diệt”
“Các công cụ EDR Killers không phải là đang lừa được cảm biến, mà đơn giản là chúng loại bỏ cảm biến đó đi, và mọi thứ phụ thuộc vào nó cũng sẽ biến mất theo,” Jack Madine, Giám đốc Sản phẩm Cấp cao tại OPSWAT, cho biết.MetaDefender khắc phục lỗ hổng này bằng cách hoàn tất quá trình phân tích trước khi tệp tin kịp tiếp cận máy chủ mà nó có thể làm mất khả năng phát hiện.”
MetaDefender là công cụ ra quyết định tích hợp trí tuệ nhân tạo (AI) OPSWAT, chuyên phát hiện các lỗ hổng zero-day tại ranh giới mạng, được xây dựng dựa trên công nghệ mô phỏng ứng dụng thay vì các máy ảo truyền thống. Điểm khác biệt này có liên quan trực tiếp đến mô hình BYOVD, bởi vì môi trường phân tích không bao giờ phụ thuộc vào tình trạng hoạt động của thiết bị đầu cuối mà nó đang bảo vệ.
Các môi trường sandbox dựa trên máy ảo (VM) có thể bị xác định dấu vân tay. Phần mềm độc hại tiên tiến hơn thường phát hiện được môi trường ảo hóa và ức chế các hành vi độc hại, dẫn đến việc đưa ra kết quả kiểm tra “sạch” cho các tệp thực tế không phải là vô hại. Cơ sở hạ tầng máy ảo cũng tạo ra một bề mặt tấn công riêng mà những kẻ tấn công quyết tâm có thể thăm dò hoặc lách qua; trong một số trường hợp, chính môi trường sandbox cũng trở thành mục tiêu.
Quy trình năm lớp MetaDefender áp dụng một phương pháp tiếp cận khác biệt. Lớp 1, Đánh giá danh tiếng mối đe dọa, kiểm tra các URL, địa chỉ IP và tên miền so với các chỉ số xâm nhập đã biết theo thời gian thực. Lớp 2, Phân tích dự đoánbằng AI/ML và phân tích tĩnh, dự đoán mức độ độc hại của các tệp chưa từng xuất hiện trước đây bằng cách sử dụng các mô hình học máy và phân tích tĩnh sâu, từ đó phát hiện các mối đe dọa zero-day trước khi bất kỳ đoạn mã nào được thực thi.
Lớp 3, Phân tích động, mô phỏng hành vi của ứng dụng ở cấp độ lệnh trong một môi trường độc lập bên ngoài không gian nhân hệ điều hành của máy chủ, trên một cơ sở hạ tầng riêng biệt. Lớp 4, Đánh giá mức độ đe dọa, liên kết các chỉ số hành vi để tạo thành điểm số rủi ro dựa trên mức độ tin cậy; còn Lớp 5, Tìm kiếm mối đe dọa, đối chiếu kết quả với khung MITRE ATT&CK và thực hiện tìm kiếm độ tương đồng bằng học máy để phát hiện các họ phần mềm độc hại và các chiến dịch tấn công.
Trong một phân tích đã được xác nhận về một công cụ BYOVD EDR-killer đang hoạt động, MetaDefender đã phát hiện và đánh dấu bộ công cụ này trước khi bất kỳ thành phần nào có thể được thực thi. Một trình điều khiển VirtualBox được ký hợp lệ (VBoxDrv.sys) — một trình điều khiển của nhà cung cấp bên thứ ba được biết là có lỗ hổng và thường bị lợi dụng để leo thang đặc quyền ở cấp nhân hệ điều hành — đã được xác định là ĐỘC HẠI với mức độ tin cậy cao nhất và được gắn nhãn là BYOVD, cùng với một trình điều khiển nhân hệ điều hành độc hại thứ hai (Shark.sys) và trình tải (Sea.exe) được xây dựng để triển khai chúng.
Vì kết quả này được tạo ra thông qua quá trình mô phỏng ở cấp độ lệnh trên một hạ tầng độc lập, nên nó vẫn đúng bất kể tác nhân đầu cuối có còn hoạt động trên máy chủ hay không. Đó chính là tình huống mà BYOVD được thiết kế để loại bỏ.
Sự tách biệt đó không có nghĩa là bảo vệ toàn diện; không có biện pháp kiểm soát nào có thể đảm bảo điều đó. Với hiệu quả phát hiện lỗ hổng zero-day lên đến 99,9% và hiệu suất sử dụng tài nguyên cao gấp 100 lần so với phương pháp sandboxing dựa trên máy ảo (VM), MetaDefender cung cấp lớp kiểm tra này mà không gây ra gánh nặng hạ tầng — yếu tố khiến các sandbox truyền thống trở nên không khả thi về mặt vận hành khi triển khai trên quy mô lớn. Mục tiêu không phải là thay thế các giải pháp bảo vệ điểm cuối. Mục tiêu là đảm bảo rằng khi các giải pháp bảo vệ điểm cuối bị vô hiệu hóa, một lớp bảo vệ trước đó đã hoàn thành nhiệm vụ của mình.
Tại sao khả năng phục hồi lại là một nghĩa vụ tuân thủ, chứ không phải là một lựa chọn thiết kế
Đối với các tổ chức hoạt động theo các tiêu chuẩn NIS2, CMMC, NERC CIP hoặc IEC 62443, khả năng phục hồi đi kèm với những yêu cầu kiểm soát cụ thể, chứ không chỉ đơn thuần là mục tiêu kiến trúc. Các khung tiêu chuẩn này yêu cầu các hệ thống quan trọng phải duy trì khả năng bảo vệ ngay cả trong điều kiện bất lợi. Một kiến trúc mà trong đó chỉ một kỹ thuật BYOVD duy nhất có thể vô hiệu hóa một biện pháp kiểm soát phát hiện chính thì khó có thể đáp ứng được những yêu cầu đó, đặc biệt là khi bị xem xét kỹ lưỡng sau sự cố.
Phân tích trước khi thực thi – hoạt động độc lập với trạng thái của thiết bị đầu cuối – trực tiếp hỗ trợ các yêu cầu về khả năng phục hồi này. Nó cũng tạo ra các tài liệu mà báo cáo tuân thủ thường yêu cầu: các chỉ số xâm nhập (IoC), các TTP (chiến thuật, kỹ thuật và quy trình) đã được xác định, cùng với điểm đánh giá rủi ro mà các đội ngũ an ninh có thể trình bày trước hội đồng quản trị và cơ quan quản lý như bằng chứng về các biện pháp kiểm soát nhiều lớp đang hoạt động hiệu quả. Bằng chứng này có trọng lượng lớn hơn so với tài liệu ghi chép về các biện pháp kiểm soát đã được triển khai nhưng sau đó bị vượt qua.
Được hơn 2.100 tổ chức, chính phủ và cơ quan trên toàn thế giới tin tưởng, bao gồm 98% các cơ sở điện hạt nhân của Hoa Kỳ, OPSWAT xây dựng nền tảng của mình dựa trên một nguyên tắc rõ ràng: “Không tin tưởng bất kỳ tệp tin nào. Không tin tưởng bất kỳ thiết bị nào.™”. Chính nguyên tắc này là điều mà các cuộc tấn công BYOVD khai thác khi các tổ chức bỏ qua nó tại các điểm cuối.
Tại sao tốc độ kiểm tra lại quyết định liệu điều này có thể duy trì được khi mở rộng quy mô hay không
Chiến lược phòng thủ đa tầng sẽ chỉ dừng lại ở lý thuyết nếu nó gây ra độ trễ mà các hoạt động không thể bù đắp được. Trong các môi trường đòi hỏi thông lượng cao như dịch vụ tài chính, quốc phòng và cơ sở hạ tầng trọng yếu chuyển mọi tệp qua một môi trường cách ly (sandbox) mà phải mất vài phút mới đưa ra kết quả đánh giá. Nếu lớp kiểm tra trở thành điểm nghẽn, các nhóm sẽ tìm cách vượt qua nó, và lỗ hổng mà lớp này vốn được thiết kế để bịt kín sẽ lại xuất hiện.
Kiến trúc mô phỏng MetaDefender được xây dựng dựa trên hạn chế này. Yêu cầu tài nguyên thấp hơn so với phương pháp sandboxing dựa trên máy ảo (VM), kết hợp với tốc độ phân tích nhanh gấp 20 lần so với các sandbox truyền thống, cho phép việc kiểm tra mở rộng quy mô để xử lý khối lượng tệp tin cấp doanh nghiệp trên các đường ống email, quy trình chuyển tệp tin được quản lý và các điểm kiểm tra cổng. Chính tốc độ đó là yếu tố khiến việc kiểm tra trước khi thực thi trở thành một biện pháp kiểm soát vận hành tiêu chuẩn, thay vì chỉ được áp dụng sau khi xảy ra sự cố.
Một kiến trúc bảo mật có khả năng chịu đựng áp lực thường trông khác biệt so với kiến trúc chỉ hoạt động trên lý thuyết. Các tác nhân đe dọa sử dụng kỹ thuật BYOVD lợi dụng khoảng cách giữa các biện pháp kiểm soát được ghi chép và thực tế vận hành. Việc thu hẹp khoảng cách đó bằng cách triển khai cơ chế kiểm tra tại một lớp mà các cuộc tấn công cấp nhân hệ điều hành không thể dễ dàng tiếp cận, đồng thời vận hành cơ chế này với tốc độ mà môi trường yêu cầu, chính là yếu tố giúp kiến trúc này hoạt động hiệu quả trong thực tế.
Các vụ xâm nhập đã được ghi nhận đã làm sáng tỏ câu hỏi liệu có thể vô hiệu hóa EDR hay không. Câu trả lời là có, và điều này đã xảy ra nhiều lần. Câu hỏi còn lại là làm thế nào để phát hiện mối đe dọa trước khi nó có cơ hội gây hại. Hãy tìm hiểu cách MetaDefender cung cấp tính năng kiểm tra trước khi thực thi, hoạt động độc lập với trạng thái của thiết bị đầu cuối.
Bài viết liênMetaDefender
MetaDefender Trang sản phẩmMetaDefender
Bài viết trên blog liên quan: Phần mềm độc hại có khả năng lẩn tránh đã vượt qua khả năng phát hiện truyền thống dựa trên máy ảo
Câu chuyện khách hàng: Tổ chức tài chính toàn cầu đẩy mạnh bảo vệ trước các lỗ hổng zero-day nhờ MetaDefender
Những câu hỏi thường gặp
Tấn công BYOVD là gì?
BYOVD (Bring Your Own Vulnerable Driver) là một kỹ thuật mà trong đó kẻ tấn công tải một trình điều khiển nhân hệ điều hành hợp lệ, đã được ký điện tử nhưng có lỗ hổng để giành quyền truy cập cấp Ring 0, sau đó sử dụng quyền truy cập này để chấm dứt các tiến trình EDR, vô hiệu hóa tính năng thu thập dữ liệu từ xa và dọn đường cho mã độc tống tiền.
Có bao nhiêu công cụ vô hiệu hóa EDR sử dụng BYOVD?
Theo ESET, 54 trong số gần 90 công cụ vô hiệu hóa EDR đã được ghi nhận đều dựa vào BYOVD, khai thác 35 trình điều khiển đã ký có lỗ hổng khác nhau để đạt được quyền truy cập cấp nhân hệ điều hành.
Việc đưa các trình điều khiển có lỗ hổng vào danh sách chặn có thể ngăn chặn các cuộc tấn công BYOVD không?
Việc đưa vào danh sách chặn sẽ ngăn chặn các trình điều khiển có lỗ hổng đã biết, nhưng các tác nhân đe dọa sẽ chuyển sang sử dụng các trình điều khiển đã được ký điện tử mà chưa có trong danh sách; đồng thời, những kẻ tấn công có trình độ cao hơn sẽ khai thác các lỗ hổng zero-day trong các trình điều khiển mà Microsoft và các nhà cung cấp giải pháp EDR chưa biết đến, từ đó hoàn toàn vượt qua cơ chế thực thi danh sách chặn.
Tại sao các môi trường cách ly dựa trên máy ảo (VM) lại dễ bị lách các biện pháp phát hiện?
Các môi trường cách ly dựa trên máy ảo có thể bị nhận diện dấu vân tay, và phần mềm độc hại tiên tiến thường phát hiện được môi trường ảo hóa và ức chế các hành vi độc hại để tạo ra kết quả kiểm tra “an toàn”, ngay cả khi tệp đó thực chất không vô hại.
Công nghệ sandboxing dựa trên mô phỏng chống lại các cuộc tấn công BYOVD như thế nào?
Công nghệ sandboxing dựa trên mô phỏng, chẳng hạn như MetaDefender , phân tích các tệp trên một hạ tầng cách ly hoạt động bên ngoài không gian nhân của máy chủ. Một cuộc tấn công BYOVD làm vô hiệu hóa trình điều khiển EDR trên thiết bị đầu cuối sẽ không thể xâm nhập vào môi trường phân tích riêng biệt đó, do đó quá trình kiểm tra và đưa ra kết luận vẫn tiếp tục diễn ra bất kể trạng thái của máy chủ.
Việc kiểm tra trước khi thực thi có thay thế EDR không?
Không. EDR vẫn là một biện pháp kiểm soát quan trọng trong kiến trúc tổng thể. Việc kiểm tra trước khi thực thi bổ sung một lớp bảo vệ hoàn thành nhiệm vụ của mình trước khi kẻ tấn công có cơ hội vô hiệu hóa các biện pháp kiểm soát dựa trên máy chủ, từ đó hỗ trợ khả năng phục hồi theo từng lớp thay vì thay thế cho việc bảo vệ điểm cuối.
