Ferramenta para Desativar Soluções EDR à Venda

Apenas para fins informativos.

Preço: $4.500

A ferramenta é supostamente baseada na técnica BYOVD (Bring Your Own Vulnerable Driver). O princípio é que o programa carrega um driver legítimo, porém vulnerável, no Windows. Através dessa vulnerabilidade, ele ganha a capacidade de executar operações privilegiadas no kernel do sistema e, em particular, interferir na operação de programas de segurança. O autor afirma que, em 2026, considera essa abordagem uma das maneiras mais confiáveis de desativar soluções EDR modernas.

O produto vendido não é apenas um arquivo .exe pronto, mas um pacote que inclui o código-fonte escrito em C++. Segundo o vendedor, o comprador pode recompilar e modificar o programa por conta própria. Diz-se que o produto suporta mais de 30 produtos EDR e inclui uma lista atualizada de seus processos. O programa oferece vários modos. Ele pode procurar por produtos de segurança em execução, encerrar processos selecionados, monitorar continuamente seu reaparecimento e interrompê-los novamente, além de tentar desativar os serviços correspondentes. Separadamente, o autor afirma que é possível encerrar processos protegidos pelo Windows do tipo PPL (Protected Process Light).

Privilégios de administrador são necessários para o driver funcionar. O autor afirma explicitamente que, se o comprador precisar adicionalmente de uma solução alternativa para o UAC obter tais privilégios, isso é um serviço separado. Outra parte da oferta envolve drivers. O pacote inclui drivers assinados e, por uma taxa adicional, o vendedor oferece o código-fonte de seu próprio driver vulnerável.

O vendedor também promete algum suporte pós-venda. Se os produtos de segurança começarem a detectar seu programa, ele promete reformular a ofuscação uma vez. Como demonstração, ele afirma que pode mostrar ao comprador um vídeo no qual o Bitdefender EDR é desativado, após o qual o Mimikatz é executado na máquina.

Em uma verificação, o arquivo EDRKiller.sys supostamente não foi detectado por nenhum dos mecanismos testados, enquanto em uma verificação mais recente, há apenas 1 em 36.