BYOVD als Commodity: Wenn Ransomware-Gruppen EDR gezielt abschalten
02.07.2026 byovdedr-evasionransomwareincident response
Wer 2026 einen Ransomware-Vorfall untersucht, trifft mit hoher Wahrscheinlichkeit auf eine Konstante: Bevor die Verschlüsselung beginnt, stirbt der EDR-Agent. Was noch vor wenigen Jahren als aufwendige, gezielte Technik einzelner APT-Gruppen galt, ist zur Routineoperation kommerzieller Ransomware-Affiliates geworden – mit direkten Konsequenzen für DFIR-Teams, deren wichtigste Datenquelle plötzlich verstummt.
BYOVD: Das Prinzip hinter dem Trend
Bring Your Own Vulnerable Driver (BYOVD) nutzt aus, dass Windows signierten Kernel-Treibern grundsätzlich vertraut. Attacker laden einen legitimen, Microsoft-signierten Treiber, der eine bekannte Schwachstelle enthält, und nutzen diese aus, um Code auf Kernel-Ebene auszuführen. Von dort terminieren sie EDR-Prozesse, deaktivieren Telemetrie und installieren Rootkits, bevor sie ihre eigentliche Payload ausliefern. Die Technik ist längst kein Nischenphänomen mehr: Stand März 2026 missbrauchen 54 EDR-Killer-Tools 35 unterschiedliche signierte Treiber, und die Technik ist keine Nation-State-Exklusivität mehr – RansomHub, BlackByte, Akira und Scattered Spider setzen sie alle ein, wobei EDRKillShifter als BYOVD-as-a-Service für das kriminelle Ökosystem fungiert.
Die Dimension zeigt sich auch bei aktuellen Kampagnen: 2026 ist das Jahr, in dem EDR-Evasion zum Mainstream wurde – die msimg32.dll-Loader-Chain der Qilin- und Warlock-Affiliates terminiert über 300 Endpoint-Agent-Treiber quer über nahezu jeden großen Anbieter hinweg. Ein anderer Fall: Im Februar 2026 bündelte die Reynolds-Ransomware einen verwundbaren NsecSoft-NSecKrnl-Treiber (CVE-2025-68947) direkt in der Ransomware-Payload; der eingebettete Treiber terminiert Prozesse von Avast, CrowdStrike Falcon, Cortex XDR, Sophos und Symantec.
Besonders bemerkenswert ist die Professionalisierung als Dienstleistung: Die Ransomware-Gruppe Gentlemen betreibt ein zentrales EDR-Killer-Framework mit acht Varianten. Alle drei Tools werden über eine gemeinsame Defense-Evasion-Schicht standardisiert, die Enigma- oder Themida-Binärprotektoren anwendet und Sicherheitsanbieter durch gefälschte Versionsinformationen sowie kopierte digitale Signaturen imitiert, was erhebliche Attributionsprobleme schafft, da Tools verschiedener Ransomware-Gruppen nach der Verarbeitung nahezu identisch erscheinen.
Warum das die Forensik verändert
Für Incident Responder bedeutet ein erfolgreicher EDR-Kill vor allem eines: Der Moment der besten Detektionsmöglichkeit ist bereits verstrichen. Der Agent-Kill-Event war der Moment, in dem der Angriff noch eindämmbar war. Als die Verschlüsselung feuerte, war es das nicht mehr. Sobald die Telemetrie fehlt, verschwindet die wichtigste forensische Datenquelle für Endpoint-basierte Timelines. Sobald EDR tot ist, generiert es keine Telemetrie mehr – das Fenster für Detektion ist schmal.
Genau deshalb gewinnt netzwerkbasierte Detektion als forensischer Fallback an Bedeutung: Ein Angreifer, der den Agenten blendet, kann weder das Netzwerk blenden, über das er kommuniziert, noch die Identitäten, als die er sich authentisiert, noch die Canary-Files, die er verschlüsselt. Für die Praxis heißt das: SSO- und IAM-Logs, NDR-Telemetrie und Deception-Artefakte müssen als gleichwertige Beweisquellen behandelt werden, wenn Endpoint-Daten ausfallen.
Konsequenzen für DFIR-Teams
Auf der Detektionsseite bleibt ein zentraler forensischer Hebel der Treiberladevorgang selbst, bevor der Exploit greift: Detektion erfordert das Abfangen des Treiber-Ladens, bevor der Exploit läuft – Sysmon Event ID 6 (Driver Loaded) abgeglichen gegen bekannte Hashes bösartiger Treiber. Organisationen sollten daher:
- Driver-Blocklists pflegen und gegen Projekte wie LOLDrivers abgleichen, statt sich allein auf Signaturprüfung zu verlassen.
- Sysmon Event ID 6 und ASR-Regeln aktiv überwachen, um Treiberladevorgänge vor der Kernel-Ausführung zu erkennen.
- Netzwerk- und Identitätstelemetrie redundant vorhalten, damit ein EDR-Ausfall nicht zum vollständigen Blackout wird.
- Canary-Files und Deception-Mechanismen einsetzen, die auch bei totem Agenten Alarm schlagen.
Der Trend zeigt: BYOVD ist kein exotisches Detail mehr, sondern ein Standardbaustein moderner Ransomware-Playbooks. Wer als DFIR-Team weiterhin ausschließlich auf Endpoint-Telemetrie setzt, riskiert genau in dem Moment blind zu sein, in dem die Beweislage am wichtigsten wäre.
← Zurück zur Übersicht