Grupy ransomware coraz częściej wyłączają EDR przed szyfrowaniem danych

Wprowadzenie do problemu / definicja

Operatorzy ransomware coraz częściej nie ograniczają się do samego uzyskania dostępu do środowiska ofiary. Coraz ważniejszym etapem ataku staje się aktywne wyłączanie narzędzi ochronnych jeszcze przed uruchomieniem szyfrowania. Szczególnie widoczny jest wzrost wykorzystania technik określanych jako EDR kill, których celem jest unieszkodliwienie systemów Endpoint Detection and Response oraz pokrewnych mechanizmów ochrony punktów końcowych.

To istotna zmiana taktyczna, ponieważ skuteczne wyłączenie EDR skraca czas dostępny na wykrycie incydentu, ogranicza telemetrię i zwiększa szanse powodzenia całej operacji wymuszeniowej. W praktyce oznacza to, że organizacja może utracić widoczność ataku jeszcze zanim napastnik przejdzie do eksfiltracji danych lub szyfrowania systemów.

W skrócie

W II kwartale 2026 roku analitycy zagrożeń odnotowali wyraźny wzrost stosowania technik neutralizacji EDR przez grupy ransomware. Trend ten jest powiązany z dojrzewaniem modelu ransomware-as-a-service, automatyzacją łańcucha ataku oraz upowszechnieniem gotowych narzędzi ofensywnych.

• Napastnicy coraz częściej wyłączają EDR przed wdrożeniem ładunku ransomware.
• Szczególnie groźne są scenariusze BYOVD, czyli nadużywanie podatnych sterowników.
• Utrata telemetrii utrudnia detekcję, reakcję i analizę powłamaniową.
• Neutralizacja ochrony staje się standardowym etapem operacji wielu grup.

Kontekst / historia

Ransomware od lat ewoluuje z prostego mechanizmu szyfrującego do złożonej, wieloetapowej operacji obejmującej rozpoznanie środowiska, eskalację uprawnień, ruch boczny, kradzież danych oraz działania utrudniające obronę. W poprzednich latach standardem stało się usuwanie kopii woluminów, zatrzymywanie usług bezpieczeństwa i omijanie klasycznych rozwiązań antywirusowych.

Obecnie obserwowany trend wskazuje na kolejny etap tej ewolucji. Zamiast jedynie ukrywać swoją obecność, operatorzy ransomware coraz częściej dążą do aktywnego odebrania obrońcom widoczności. Neutralizacja EDR i XDR przed szyfrowaniem staje się elementem procedury operacyjnej, a nie działaniem okazjonalnym.

Zjawisko to wpisuje się także w szerszą zmianę krajobrazu zagrożeń. Grupy przestępcze, nawet jeśli rywalizują ze sobą pod względem skali aktywności, coraz częściej korzystają z podobnych technik: maskowania infrastruktury, utrudniania atrybucji oraz eliminowania ochrony punktów końcowych przed końcową fazą ataku.

Analiza techniczna

Techniki EDR kill obejmują zarówno proste, jak i bardzo zaawansowane metody. Do podstawowych należą zatrzymywanie usług bezpieczeństwa, modyfikowanie rejestru systemowego, usuwanie agentów lub blokowanie uruchamiania procesów ochronnych. Bardziej dojrzałe operacje wykorzystują legalne narzędzia administracyjne, zaufane binaria systemowe oraz obchodzenie mechanizmów ochrony przed manipulacją.

Najgroźniejszy scenariusz dotyczy modelu BYOVD, czyli Bring Your Own Vulnerable Driver. W takim wariancie napastnik dostarcza do systemu sterownik zawierający znane słabości albo umożliwiający wykonywanie uprzywilejowanych operacji. Po jego załadowaniu zyskuje możliwość działania na poziomie jądra systemu operacyjnego.

Dostęp do poziomu kernel mode pozwala między innymi na wyłączanie procesów EDR, manipulowanie callbackami, zakłócanie mechanizmów monitoringu oraz blokowanie funkcji, które mogłyby przerwać atak. To oznacza realną przewagę techniczną nad rozwiązaniami działającymi głównie w przestrzeni użytkownika.

Raporty branżowe wskazują, że część grup ransomware traktuje taki etap jako standardowy element operacji. Dodatkowo automatyzacja oraz wykorzystanie narzędzi wspieranych przez sztuczną inteligencję przyspieszają identyfikację aktywnych agentów bezpieczeństwa i dobór skutecznej metody ich neutralizacji.

Konsekwencje / ryzyko

Najpoważniejszą konsekwencją skutecznego EDR kill jest utrata telemetrii w kluczowej fazie incydentu. Zespół SOC może nie zobaczyć momentu eskalacji uprawnień, ruchu bocznego, nadużycia sterownika ani przygotowań do wdrożenia ransomware. To znacząco utrudnia zarówno reakcję w czasie rzeczywistym, jak i późniejsze dochodzenie powłamaniowe.

Ryzyko operacyjne rośnie szczególnie wtedy, gdy ochrona zostaje wyłączona na wielu hostach jednocześnie. Atakujący zyskuje wtedy większą swobodę we wdrażaniu narzędzi post-exploitation, przemieszczaniu się po sieci oraz koordynowaniu szyfrowania na większą skalę. Dla organizacji oznacza to wyższe ryzyko przestoju biznesowego, utraty danych i wzrostu kosztów odtworzenia środowiska.

Istotny jest również czynnik dostępności tych technik. Metody neutralizacji zabezpieczeń przestają być domeną wyłącznie najbardziej zaawansowanych grup. Wraz z rozwojem ekosystemu afiliacyjnego i popularyzacją gotowych narzędzi ofensywnych podobne działania mogą być częściej obserwowane także w atakach na średnie i mniejsze organizacje.

Rekomendacje

Organizacje powinny przyjąć założenie, że sam agent EDR nie może być jedyną warstwą obrony przed ransomware. Niezbędne jest podejście wielowarstwowe, łączące hardening systemów, segmentację sieci, ograniczanie uprawnień, niezależne źródła logów oraz gotowość do reagowania w warunkach częściowej utraty widoczności.

• blokowanie lub ścisła kontrola ładowania sterowników, w tym polityki allowlisting i mechanizmy ograniczające BYOVD,
• włączenie ochrony przed manipulacją zabezpieczeniami wszędzie tam, gdzie wspiera to platforma i dostawca rozwiązania,
• monitorowanie zdarzeń związanych z tworzeniem i ładowaniem sterowników, zatrzymywaniem usług oraz modyfikacją rejestru,
• korelacja logów z hostów, sieci, warstwy tożsamości i środowisk chmurowych,
• ograniczenie uprawnień lokalnych administratorów oraz wdrożenie zasad just-in-time i just-enough administration,
• regularne testy odporności, symulacje ransomware i ćwiczenia obejmujące scenariusz wyłączenia EDR,
• utrzymywanie kopii zapasowych offline lub logicznie odseparowanych oraz regularna weryfikacja procedur odtworzeniowych.

Warto także rozwijać detekcję sygnałów pośrednich. Próby wyłączenia EDR często pozostawiają ślady w innych warstwach środowiska, takie jak nietypowe działania na usługach, anomalie związane ze sterownikami, wzrost błędów agentów bezpieczeństwa czy podejrzana aktywność na kontach uprzywilejowanych.

Podsumowanie

II kwartał 2026 roku potwierdził, że neutralizacja EDR staje się jednym z kluczowych elementów nowoczesnych operacji ransomware. Napastnicy coraz częściej dążą do odebrania organizacjom zdolności wykrywania i reagowania jeszcze przed uruchomieniem właściwego ładunku.

Szczególnie niebezpieczne są techniki wykorzystujące podatne sterowniki i dostęp do poziomu jądra systemu, ponieważ pozwalają ominąć klasyczne mechanizmy ochronne. Dla obrońców oznacza to konieczność budowania odporności w oparciu o wiele warstw zabezpieczeń, niezależne źródła telemetrii oraz procedury reagowania gotowe na scenariusz częściowej utraty kontroli nad punktami końcowymi.

Źródła

• https://www.infosecurity-magazine.com/news/ransomware-q2-2026-edr-kill/
• https://reliaquest.com/blog/threat-spotlight-ransomware-and-cyber-extortion-in-q2-2026/
• https://www.infosecurity-magazine.com/news/the-gentlemen-most-prolific/