EDR killers: apagan tu antivirus primero
🛡️
Análisis de ITCM Solutions con contexto de Sophos (Sophos X-Ops, octubre de 2026). Sophos® es marca registrada de Sophos Ltd. El análisis y las recomendaciones son de ITCM Solutions.
Antes de cifrar un solo archivo, muchos grupos de ransomware hacen otra cosa: apagar la protección del equipo. Para eso usan los llamados EDR killers, herramientas pensadas solo para dejar ciego al antivirus o al EDR. Si lo consiguen, el resto del ataque ocurre sin que nadie lo vea.
Qué está pasando
Sophos ha explicado en su blog cómo funcionan los EDR killers y cómo frenarlos. Las claves:
- Un EDR killer es cualquier herramienta creada para desactivar la protección. Unas son malware hecho a medida; otras, software legítimo usado con mala intención.
- La técnica estrella es «trae tu propio driver vulnerable» (BYOVD). El atacante instala un controlador real, firmado y de confianza, pero con un fallo conocido, y lo aprovecha para actuar con los máximos privilegios de Windows y detener la seguridad.
- También manipulan el registro de eventos de Windows (ETW) y la configuración del sistema para que las herramientas de seguridad dejen de recibir información o no arranquen.
- No es teoría. Sophos X-Ops cuenta que EDRKillShifter se usó en 2024 en un intento de ataque de RansomHub contra un cliente, que fracasó, y que la misma herramienta se ha ido reconstruyendo para cada ataque y la han usado varios grupos de ransomware distintos.
Por qué te afecta (pyme / asociación)
- Tener antivirus no basta si se puede apagar. Muchas pymes confían en que «ya hay algo instalado». Si esa protección no se defiende a sí misma, es la primera pieza que cae.
- El atacante suele llegar con permisos de administrador. Una cuenta con privilegios robada (como en los ataques a Active Directory) es justo lo que necesita para cargar un driver.
- Sin protección, nadie da la alarma. En una organización pequeña, sin equipo de seguridad vigilando, el primer aviso puede ser la nota de rescate.
Qué hacer
- Activa la protección contra manipulación (tamper protection) de tu antivirus o EDR, para que nadie pueda desactivarlo ni desinstalarlo sin autorización, ni siquiera un administrador.
- Bloquea los drivers vulnerables conocidos. En Windows, activa la lista de bloqueo de controladores vulnerables de Microsoft y la integridad de memoria (HVCI) donde sea compatible.
- Quita permisos de administrador del día a día. Quien no es administrador no puede instalar un driver: es una de las barreras más sencillas y eficaces.
- Usa un EDR que vigile el comportamiento, no solo firmas: que avise cuando alguien instala un controlador nuevo o intenta detener servicios de seguridad.
- Que alguien mire las alertas. Un aviso de «intento de desactivar la protección» a las tres de la madrugada necesita respuesta inmediata; si no tienes ese equipo, un servicio gestionado (MDR) lo cubre.
- Mantén copias 3-2-1-1-0 con una copia inmutable o desconectada: si todo lo demás falla, es lo que te permite recuperarte sin pagar.
¿Sabes si la protección de tus equipos aguantaría un intento de apagado? En ITCM Solutions lo comprobamos y la dejamos blindada. Hablemos.