Grupo de ransomware Qilin usa técnica BYOVD para desativar segurança

Recentemente, os grupos de ransomware Qilin e Warlock têm utilizado a técnica conhecida como ‘bring your own vulnerable driver’ (BYOVD) para desativar ferramentas de segurança em sistemas comprometidos. A análise realizada pela Cisco Talos revelou que o Qilin emprega um DLL malicioso chamado ‘msimg32.dll’, que inicia uma cadeia de infecção em múltiplas etapas, visando desativar soluções de detecção e resposta em endpoints (EDR). Este DLL é capaz de encerrar mais de 300 drivers de EDR de diversos fornecedores.

Os pesquisadores destacam que a primeira etapa do ataque envolve um carregador PE que prepara o ambiente para o componente que desativa os EDR. O malware utiliza técnicas sofisticadas para evitar a detecção, como neutralizar hooks em modo usuário e suprimir logs de eventos do Windows. Após a ativação, o malware utiliza dois drivers renomeados para acessar a memória física do sistema e encerrar processos de segurança.

Estatísticas indicam que o Qilin se tornou o grupo de ransomware mais ativo, responsável por 16,4% dos incidentes de ransomware no Japão em 2025. A execução do ransomware ocorre em média seis dias após a violação inicial, ressaltando a importância da detecção precoce de atividades maliciosas. Para mitigar essas ameaças, recomenda-se permitir apenas drivers assinados de editores confiáveis e monitorar eventos de instalação de drivers.

Fonte: https://thehackernews.com/2026/04/qilin-and-warlock-ransomware-use.html

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).