Bring Your Own Vulnerable Driver (BYOVD) omvat vier verschillende aanvalstechnieken die detectieteams apart moeten analyseren om effectief te zijn.
Bring Your Own Vulnerable Driver (BYOVD) krijgt steeds meer aandacht binnen endpoint security. Hoewel de term vaak als één aanvalstype wordt gezien, betreft het eigenlijk vier verschillende technieken die elk een eigen detectiebenadering vereisen. Het samenvoegen van deze technieken onder één noemer leidt tot blinde vlekken in de beveiliging.
De vier technieken delen het doel om endpoint detectie- en responssoftware (EDR) uit te schakelen, maar verschillen sterk in uitvoering. De eerste techniek, BYOVD, laadt een ondertekende maar kwetsbare driver en veroorzaakt daarmee een kernel crash. De tweede techniek misbruikt een vertrouwde installer of upgradeproces om de beveiligingsagent te vervangen. De derde techniek, admin-to-kernel, gebruikt een reeds verhoogde sessie om via een bekende kwetsbaarheid toegang tot Ring 0 te krijgen. De vierde techniek, driverless suspension, werkt volledig vanuit de gebruikersruimte en blokkeert of bevriest de agent zonder een driver te laden. Eén detectieregel kan deze vier niet allemaal afdekken.
Elke techniek laat een eigen spoor achter dat met specifieke telemetrie kan worden opgespoord. Zo is bij BYOVD het laden van een driver met een onbekende of ongeldige handtekening het belangrijkste signaal, te detecteren via Sysmon Event ID 6 en systeemlog Event 7045. Detectieteams kunnen regels opstellen die alert zijn op drivers met een niet-geldige handtekening of die voor het eerst op het systeem verschijnen. Dit vereist wel aandacht voor false positives, omdat legitieme updates ook nieuwe handtekeningen kunnen introduceren.
De andere technieken vragen om het monitoren van onverwachte agent-updates buiten geplande vensters, het controleren van kernel-callback integriteit en het signaleren van procesonderbrekingen zonder bijbehorende driver events. Door deze vier technieken afzonderlijk te behandelen en te jagen op hun specifieke telemetrie, kunnen detectieteams effectiever optreden tegen geavanceerde pogingen om EDR-software uit te schakelen. Het project LOLDrivers biedt bijvoorbeeld een uitgebreide lijst van kwetsbare, ondertekende drivers die kunnen worden misbruikt, wat helpt bij het opzetten van detectieregels.
