EDR killers: así apagan tu antivirus
🛡️
Análisis de ITCM Solutions con contexto de Sophos (Sophos X-Ops, octubre de 2026). Sophos® es marca registrada de Sophos Ltd. El análisis y las recomendaciones son de ITCM Solutions.
Antes de cifrar un solo archivo, muchos grupos de ransomware hacen otra cosa: apagar la protección del equipo. Para eso usan los llamados EDR killers, herramientas pensadas solo para dejar ciego al antivirus o al EDR. Si lo consiguen, el resto del ataque ocurre sin que nadie lo vea.
Qué está pasando
Sophos ha explicado en su blog cómo funcionan los EDR killers y cómo frenarlos. Las claves:
- Un EDR killer es cualquier herramienta creada para desactivar la protección. Unas son malware hecho a medida; otras, software legítimo usado con mala intención.
- La técnica estrella es «trae tu propio driver vulnerable» (BYOVD). El atacante instala un controlador real, firmado y de confianza, pero con un fallo conocido, y lo aprovecha para actuar con los máximos privilegios de Windows y detener la seguridad.
- También manipulan el registro de eventos de Windows (ETW) y la configuración del sistema para que las herramientas de seguridad dejen de recibir información o no arranquen.
- No es teoría. Sophos X-Ops cuenta que EDRKillShifter se usó en 2024 en un intento de ataque de RansomHub contra un cliente, que fracasó, y que la misma herramienta se ha ido reconstruyendo para cada ataque y la han usado varios grupos de ransomware distintos.
Por qué te afecta (pyme / asociación)
- Tener antivirus no basta si se puede apagar. Muchas pymes confían en que «ya hay algo instalado». Si esa protección no se defiende a sí misma, es la primera pieza que cae.
- El atacante suele llegar con permisos de administrador. Una cuenta con privilegios robada (por ejemplo, con un falso soporte que pide tu SMS) es justo lo que necesita para cargar un driver.
- Sin protección, nadie da la alarma. En una organización pequeña, sin equipo de seguridad vigilando, el primer aviso puede ser la nota de rescate.
Qué hacer
- Activa la protección contra manipulación (tamper protection) de tu antivirus o EDR, para que nadie pueda desactivarlo ni desinstalarlo sin autorización, ni siquiera un administrador.
- Bloquea los drivers vulnerables conocidos. En Windows, activa la lista de bloqueo de controladores vulnerables de Microsoft y la integridad de memoria (HVCI) donde sea compatible.
- Quita permisos de administrador del día a día. Quien no es administrador no puede instalar un driver: es una de las barreras más sencillas y eficaces.
- Usa un EDR que vigile el comportamiento, no solo firmas: que avise cuando alguien instala un controlador nuevo o intenta detener servicios de seguridad.
- Que alguien mire las alertas. Un aviso de «intento de desactivar la protección» a las tres de la madrugada necesita respuesta inmediata; si no tienes ese equipo, un servicio gestionado (MDR) lo cubre.
- Mantén copias 3-2-1-1-0 con una copia inmutable o desconectada: si todo lo demás falla, es lo que te permite recuperarte sin pagar.
¿Sabes si la protección de tus equipos aguantaría un intento de apagado? En ITCM Solutions lo comprobamos y la dejamos blindada. Hablemos.