Utilizando ferramentas legítimas de baixo nível como armas: como o ransomware burla as proteções antivírus
Conteúdo
- Introdução
- O “Dilema do Duplo Uso”: Por que os atacantes preferem ferramentas legítimas
- Por que a neutralização de antivírus é importante
- Evolução histórica da neutralização de vírus
- A cadeia de morte do ransomware
- Etapas do abuso de ferramentas legítimas de baixo nível
- Etapa 1: Ferramentas de baixo nível para neutralização de antivírus e escalonamento de privilégios
- Etapa 2: Roubo de credenciais, manipulação do kernel e ferramentas de implantação de ransomware
- Exemplos de campanhas reais: da eliminação de antivírus ao ransomware.
- Mapeamento TTP do ator de ameaça (MITRE ATT&CK)
- Tendências emergentes e ameaças futuras
- Como Seqrite Proteja-se contra estas atividades
- Recomendações para Detecção e Resposta a Incidentes de Ameaças Avançadas
- Melhores práticas e recomendações de segurança
- Conclusão
Introdução:
O ransomware deixou de ser apenas um código malicioso — agora é administrado como um negócio. Os ataques modernos se desenrolam em etapas cuidadosamente planejadas, visando desde usuários domésticos até pequenas empresas e grandes corporações. Em vez de dependerem apenas de malware personalizado, os adversários de hoje agem mais como testadores de penetração com más intenções: estudam as defesas, procuram pontos fracos e, em seguida, usam ferramentas legítimas de baixo nível contra os próprios sistemas que deveriam ser protegidos.
Considere utilitários como Process Hacker, IOBit Unlocker, PowerRun ou AuKill. Eles foram originalmente criados para ajudar equipes de TI a solucionar problemas em sistemas, gerenciar o registro ou trabalhar com drivers. Mas, em mãos erradas, tornam-se armas, usadas para desativar silenciosamente as proteções antivírus antes mesmo que o ransomware se manifeste.
Por que os atacantes os preferem:
- Fator de confiança: Por serem assinadas digitalmente e de uso comum, os sistemas de segurança geralmente as consideram seguras.
- Capacidade: Eles dão aos atacantes controle em nível de SISTEMA ou até mesmo de kernel, algo que o malware comum geralmente não consegue obter sozinho.
- Furtividade: Suas atividades parecem ser trabalho administrativo normal, deixando muito poucos rastros.
Esse “dilema da dupla utilização” é exatamente o que os torna tão perigosos — ferramentas projetadas para resolver problemas podem ser facilmente transformadas em armas perfeitas para desmantelar a segurança, tudo sem levantar suspeitas.
Por que a neutralização de antivírus é importante
Desativar o antivírus não é apenas um passo menor em uma campanha de ransomware — é uma tática deliberada para abrir caminho para a execução do payload. As ferramentas de segurança são projetadas para bloquear arquivos maliciosos, registrar comportamentos suspeitos e alertar os defensores em tempo real. Ao desativá-las, os atacantes garantem que suas operações permaneçam silenciosas e ininterruptas.
Eis como a desativação das medidas de segurança beneficia diretamente o atacante:
- O antivírus bloquearia os arquivos de ransomware no momento da execução.
- O EDR capturaria e registraria comportamentos anormais de criptografia de arquivos.
- Os artefatos forenses podem dar às equipes do SOC (Centro de Operações de Segurança) uma chance de responder.
- Ao desativar essas proteções, os atacantes criam uma zona silenciosa onde o ransomware pode ser executado sem ser detectado.
Evolução histórica da neutralização de vírus
Os grupos de ransomware não ficaram parados — eles vêm aprimorando constantemente suas estratégias para burlar as defesas antivírus. O que começou como ataques simples baseados em scripts evoluiu para operações altamente sofisticadas, incluindo manipulações em nível de kernel e módulos prontos que agora são padrão em kits de ransomware como serviço (RaaS). A tabela abaixo resume essa evolução:
| Período | Técnica de Neutralização Primária | Famílias representativas de ransomware |
| 2015 - 2017 | Scripts básicos (taskkill/net stop) | CryptoLocker, WannaCry |
| 2018 - 2020 | Abuso de hackers de processos | Ryuk, DoppelPaymer |
| 2021 - 2023 | Manipulação de drivers em nível de kernel | Conti, LockBit 2.0 |
| 2024 - Presente | Módulos antivírus pré-configurados em kits RaaS. | LockBit 3.0, BlackCat |
Ao longo dos anos, os atacantes passaram de executar comandos simples para adulterar diretamente o sistema operacional e, agora, dependem de kits automatizados de RaaS (Ataque como Serviço) que incluem neutralizadores de antivírus por padrão, tornando esses ataques mais rápidos, furtivos e difíceis de impedir.
A cadeia de morte do ransomware
Os ataques de ransomware normalmente seguem uma sequência deliberada de etapas, frequentemente chamada de cadeia de ataque, que leva uma intrusão desde a invasão inicial até a criptografia generalizada e a interrupção operacional. Quando os atacantes usam ferramentas legítimas de baixo nível, essa cadeia se torna ainda mais furtiva e eficiente. Cada etapa é cuidadosamente elaborada para contornar as defesas, obter privilégios mais elevados e garantir que o ransomware complete sua missão sem ser detectado.
- Acesso Inicial – Os atacantes obtêm acesso por meio de e-mails de phishing, credenciais roubadas ou ferramentas de acesso remoto (RATs) usadas indevidamente, estabelecendo seu primeiro ponto de apoio.
- Escalonamento de Privilégios Ferramentas como PowerRun ou YDArk são exploradas para obter permissões de nível de SISTEMA ou de kernel.
- Neutralização de Antivírus – O software de segurança é desativado interrompendo ou encerrando os processos do antivírus e do EDR.
- Roubo de Credencial – Utilitários como o Mimikatz extraem senhas e tokens armazenados para se movimentarem lateralmente pela rede.
- Persistência e Limpeza Ferramentas como Unlock_IT ou Atool_ExperModel removem registros e desativam rotinas de inicialização para ocultar vestígios da intrusão.
- Execução de carga útil – Por fim, o ransomware é implantado, criptografando arquivos e se misturando à atividade normal do sistema.
Etapas do abuso de ferramentas legítimas de baixo nível
Os adversários normalmente seguem um processo de duas etapas ao explorarem indevidamente utilitários administrativos e de baixo nível em campanhas de ransomware. Cada etapa tem um objetivo claro e utiliza um conjunto distinto de ferramentas:
Etapa 1: Ferramentas de baixo nível para neutralização de antivírus e escalonamento de privilégios
Os atacantes frequentemente utilizam uma combinação de desbloqueadores de arquivos, finalizadores de processos, utilitários de escalonamento de privilégios e extratores de credenciais. Ao abusar dessas categorias de ferramentas legítimas, eles desativam sistematicamente as defesas antivírus, apagam rastros e preparam o ambiente para a execução de ransomware. A tabela abaixo consolida as ferramentas mais comumente utilizadas em quatro categorias principais.
| ferramenta | Finalidade legítima | Cenário de Ataque (Uso Malicioso + Linha de comando silenciosa Exemplo + Fluxograma Técnico) | Impacto na segurança |
| Desbloqueador IOBit | Desbloquear arquivos bloqueados | Exclui silenciosamente os binários do antivírus → IOBitUnlocker.exe /delete “C:\Program Files\AV\avp.exe” → Usa a API NtUnlockFile para contornar os bloqueios do sistema operacional | Impede que o antivírus reinicie ou seja atualizado. |
| TDSSKiller | Remoção de rootkit | Usado indevidamente para descarregar drivers de kernel de antivírus → tdsskiller.exe -silent -tdlfs → Impede a recarga dos módulos de kernel do antivírus | Enfraquece a defesa ao nível do kernel |
| Explorador do Kernel do Windows (WKE) | Depurador de kernel | Descarregamento direto de drivers e manipulação de objetos do kernel via PsSetCreateProcessNotifyRoutine → o atacante controla o kernel do sistema operacional. | Concede controle total do sistema operacional. |
| Atool_ExperModel | Diagnóstico de registro/processo | Exclui as chaves de inicialização do antivírus → atool.exe /regdel HKLM\SOFTWARE\AVVendor\Startup → Interrompe a persistência removendo tarefas agendadas | O antivírus não inicia automaticamente após a reinicialização. |
| Process Hacker | Gerenciador de tarefas/depurador | Encerra os processos do antivírus via SeDebugPrivilege → taskkill /IM Antivirusguard.exe /F | Desativa instantaneamente o monitoramento antivírus em tempo real. |
| Processo KO | Encerramento rápido do processo | Encerra os serviços antivírus instantaneamente → ProcessKO.exe -kill Antivirusservice.exe | Remove a proteção em tempo real em segundos. |
Etapa 2: Roubo de credenciais, manipulação do kernel e ferramentas de implantação de ransomware
Uma vez neutralizados os processos antivírus, os atacantes passam a roubar credenciais, manipular as defesas em nível de kernel e executar payloads de ransomware com privilégios elevados. Essas ferramentas são muito mais perigosas porque operam no nível do SISTEMA ou do kernel, permitindo que os adversários se movimentem lateralmente, desabilitem mecanismos de segurança e lancem payloads de criptografia sem interrupção. A tabela abaixo destaca as ferramentas mais comumente exploradas nesta etapa:
| ferramenta | Finalidade legítima | Cenário de ataque (uso malicioso + exemplo de linha de comando silenciosa + fluxo técnico) | Impacto na segurança |
| 0th3r_av5.exe | Disfarce de utilitário administrativo | Uma ferramenta baseada em scripts itera silenciosamente sobre os serviços antivírus, encerrando processos em massa simultaneamente. | Neutraliza vários agentes antivírus simultaneamente. |
| Palavra HRS | Utilitário de gerenciamento de serviços/motoristas (ferramenta administrativa legítima) | Manipula o estado do serviço/driver para desativar o antivírus e impedir a reinstalação → exemplo de comando silencioso: HRSword.exe /service stop “avservice” /disable → interrompe o serviço alvo, define ServiceStart como desativado e atualiza o caminho binário do serviço ou as opções de recuperação para impedir a reinicialização automática. | Impede a recuperação e reinstalação do serviço antivírus; prolonga o tempo de permanência do invasor e dificulta a remediação. |
| YDArk | Manipulação do kernel | Desativa as funções de retorno de chamada do antivírus → ydark.exe -unload Antivirusdriver.sys → Intercepta a rotina PsSetCreateThreadNotifyRoutine para persistência oculta | Compromete as proteções do kernel |
| Power Run | Executar aplicativos como SISTEMA | Executa o payload do ransomware no nível do SISTEMA → PowerRun.exe ransomware.exe | Ignora restrições de nível de usuário, privilégio total |
| Desbloqueie_IT | Desbloquear arquivos/registro | Exclui os registros do antivírus → UnlockIT.exe /unlock HKLM\Security\AVLogs → Apaga entradas do registro e rastros forenses | Interrompe a investigação baseada em registros |
| HackTool AuKill | Neutralizador de antivírus | Encerra explicitamente os processos do antivírus/EDR → Antiviruskiller.exe –kill –all | Cria um ponto cego para a implantação de ransomware. |
| Mimikatz | Ferramenta de extração de credenciais | Extrai credenciais de administrador em cache → mimikatz.exe privilege::debug sekurlsa::logonpasswords → Lê a memória LSASS | Permite a propagação lateral por meio de credenciais roubadas. |
Exemplos de campanhas reais: da eliminação de antivírus ao ransomware:
Os operadores de ransomware frequentemente se valem de utilitários legítimos de baixo nível do sistema para neutralizar proteções antivírus, elevar privilégios e criar o ambiente perfeito para a execução do payload. Abaixo, apresentamos uma visão consolidada das ferramentas mais utilizadas e das campanhas de ransomware em que foram observadas:
| ferramenta | Campanhas de ransomware associadas |
| Desbloqueador IOBit | LockBit Black 3.0, Weaxor, TRINITY, Proton / Shinra, Mimic, Makop, Dharma, Mallox, Phobos |
| Process Hacker | Phobos, Makop, Dharma, GlobeImposter 2.0 |
| Explorador do Kernel do Windows (WKE) | Dharma (Família .cezar), TRINITY, MedusaLocker |
| Palavra HRS | Phobos, GlobeImposter 2.0, Makop |
| YDArk | Weaxor, Fobos |
| TDSSKiller | BlackBit |
| Atool (Atool_ExperModel) | Trigona |
| Processo KO | Makop |
| 0th3r_av5.exe | MedusaLocker |
| Desbloqueie_IT | Empresa-alvo |
| Mimikatz | Ransomware INC |
Mapeamento TTP do ator de ameaça (MITRE ATT&CK)
Toda campanha de ransomware segue um padrão, e os atacantes raramente agem aleatoriamente. Eles selecionam cuidadosamente ferramentas e técnicas que se alinham aos seus objetivos em cada etapa do ataque. Ao mapear essas ações para a estrutura MITRE ATT&CK, podemos entender melhor como utilitários legítimos de baixo nível são reaproveitados para uso malicioso.
A tabela abaixo mostra como os adversários passam da escalada de privilégios à desativação de defesas, roubo de credenciais e, finalmente, à execução do ransomware — tudo isso abusando de ferramentas confiáveis que nunca foram projetadas para o crime. Esse mapeamento facilita a visualização do plano de ação do atacante por parte dos defensores e a identificação de oportunidades para detectar ou interromper a intrusão antes que o dano seja causado.
| Etapa | Técnica | ID da subtécnica MITRE ATT&CK | Ferramentas Envolvido | Atividades |
| Escalonamento de Privilégios | Mecanismo de Controle de Elevação de Abuso | T1548.002 | PowerRun, WKE, YDArk | Acesso ao SISTEMA/kernel |
| Evasão de Defesa | Desativar ferramentas de segurança | T1562.001 | AuKill, IOBit Unlocker, ProcessKO, Process Hacker | Ignorar antivírus/EDR |
| Acesso de credencial | Despejo de credenciais do sistema operacional | T1003.001 | Mimikatz | Movimento lateral |
| Persistência | Modificar Registro | T1112 | Unlock_IT, Atool_ExperModel | Manter o antivírus desativado |
| Evasão de Defesa | Exclusão de arquivos / Limpeza de registros | T1070.004 | Desbloqueie_IT | Remove evidências forenses |
| Discovery | Descoberta de serviço do sistema | T1082 | Process Hacker, PowerRun | Identificar processos antivírus em execução |
| Impacto | Inibir Recuperação do Sistema | T1490 | ProcessKO, Unlock_IT | Opções de recuperação de blocos |
| Impacto | Dados criptografados para impacto | T1486 | Todas as ferramentas | Prepara carga útil de ransomware |
Tendências emergentes e ameaças futuras
Os ransomwares estão se tornando mais rápidos, mais inteligentes e mais difíceis de detectar. As principais tendências emergentes incluem:
- Assassinos de antivírus RaaS – Scripts pré-configurados em kits de ransomware projetados para desativar automaticamente as defesas antivírus.
- Escalada em nível de kernel – Os atacantes exploram vulnerabilidades dos drivers para obter controle furtivo e de alto nível sobre os sistemas.
- Correntes multiferramentas – Utilitários como PowerRun, Unlock_IT e AuKill são combinados para contornar camadas de segurança de forma confiável.
- Técnicas assistidas por IA – A IA ajuda a selecionar automaticamente o método de neutralização mais eficaz para cada ambiente.
- Ataques à Cadeia de Suprimentos – Ferramentas administrativas infectadas por cavalos de Troia e atualizações de software falsas criam novos vetores de infecção.
- Segmentação de endpoints na nuvem – As infraestruturas de nuvem híbrida e suas ferramentas de segurança estão cada vez mais vulneráveis a ataques sofisticados.
Essas tendências indicam que o ransomware está evoluindo para operações mais automatizadas, precisas e evasivas, tornando essenciais as estratégias de defesa proativas.
Como Seqrite Proteja-se contra estas atividades
Seqrite Oferecer defesas em camadas para combater táticas sofisticadas de ransomware e neutralização de antivírus por meio de Seqrte EPP:
- Proteção contra vírus – Identifica e bloqueia instaladores trojanizados, scripts maliciosos e payloads de ransomware antes que possam ser executados.
- Autoproteção antivírus – Impede que invasores encerre ou desinstalem o software antivírus à força.
- Detecção Comportamental – Monitora ações suspeitas, como encerramento em massa de processos e adulteração de registros.
- Proteção Ransomware – Detecta atividades anormais de criptografia de arquivos em tempo real, impedindo a propagação de ransomware.
- Controle de Aplicação – Restringe a execução de utilitários e ferramentas administrativas não aprovadas para evitar o uso indevido. Juntas, essas funcionalidades oferecem proteção proativa e reativa, mantendo os endpoints seguros mesmo contra ataques avançados e de múltiplas etapas.
Monitoramos continuamente o cenário de ameaças e buscamos proativamente novas variantes ou variantes modificadas de utilitários exploratórios, atualizando rapidamente nossos módulos de detecção e regras de comportamento para manter uma cobertura eficaz.
Recomendações para Detecção e Resposta a Incidentes de Ameaças Avançadas
A proteção contra ransomware moderno exige monitoramento proativo e estratégias de resposta estruturadas:
- Monitoramento de término de processo – Detectar encerramentos em massa suspeitos de processos antivírus ou EDR.
- Auditoria de Registros e Arquivos – Monitorar alterações nas chaves de registro, logs e entradas de inicialização relacionadas ao antivírus.
- Análise Comportamental – Identificar execuções incomuns em nível de SISTEMA e modificações em nível de kernel.
- Detecção de roubo de credenciais – Monitorar padrões de acesso ao LSASS e outros repositórios de credenciais.
- Controle de Aplicação – Limitar a execução a ferramentas administrativas autorizadas para evitar uso indevido.
- Manuais e alertas – Automatizar alertas para sequências de ataque como escalonamento de privilégios → desativação do antivírus → alterações no registro/log → execução de ransomware.
- Isolamento de endpoint – Isolar rapidamente os dispositivos afetados para conter a ameaça e impedir movimentos laterais.
Essas medidas ajudam as organizações a detectar ataques sofisticados precocemente e a responder de forma estruturada e oportuna, reduzindo o risco de interrupções em grande escala.
Melhores práticas e recomendações de segurança
A implementação de medidas de segurança proativas pode reduzir significativamente o risco de ransomware e ataques avançados:
- Impor a autenticação multifator (MFA) para administradores – Exigir autenticação multifatorial para proteger contas privilegiadas contra comprometimento.
- Ativar lista de permissões de aplicativos – Bloquear binários não aprovados ou não verificados, impedindo que ferramentas maliciosas sejam executadas.
- Monitorar eventos de término – Detectar e alertar continuamente sobre comandos suspeitos como sc stop, net stop ou taskkill.
- Restringir o uso de ferramentas de baixo nível – Limitar a execução apenas a ferramentas administrativas essenciais e previamente verificadas para o negócio.
- Alterações no Registro de Auditoria – Rastrear e sinalizar modificações nas chaves de registro associadas a antivírus, EDR ou configurações de inicialização.
- Educar as equipes SOC – Treinar analistas de segurança para identificar tentativas sutis de contornar ou neutralizar as defesas.
- Isolar utilitários administrativos – Fornecer acesso a ferramentas sensíveis somente por meio de servidores de acesso remoto seguros e monitorados.
Seguir essas boas práticas garante que as organizações mantenham um forte controle sobre os sistemas críticos, detectem atividades suspeitas precocemente e minimizem o impacto de possíveis ataques.
Conclusão
Ferramentas administrativas de baixo nível, originalmente projetadas para tornar as operações de TI mais eficientes, têm sido cada vez mais utilizadas como armas em campanhas de ransomware. Os atacantes as exploram para desativar defesas antivírus e EDR, manter persistência furtiva e preparar sistemas para criptografia silenciosa e em larga escala. O que antes eram utilitários confiáveis agora se tornaram alguns dos facilitadores mais perigosos de ataques cibernéticos.
A principal conclusão é clara: ferramentas de dupla utilização representam um sério risco para a segurança empresarial. Combater essa ameaça exige defesas em camadas que combinem a força do Quick Heal / Seqrite Proteção com governança e controle rigorosos sobre as ferramentas administrativas. Ao resgatar essas ferramentas como aliadas confiáveis dos defensores, em vez de armas para os atacantes, as organizações podem negar aos adversários sua vantagem furtiva e proteger a infraestrutura crítica contra campanhas modernas de ransomware.
Monitoramos continuamente o cenário de ameaças, buscamos proativamente novas variantes de ferramentas ou variantes modificadas e integramos essas descobertas diretamente em nossos módulos de detecção — garantindo que nossa cobertura evolua conforme os invasores mudam de tática.
autores
AutorMatin Tadvi
Coautor: Sumit Patil
