Sur les quelque 90 « EDR killers » répertoriés et activement utilisés dans la nature, 54 s’appuient sur la même technique sous-jacente : BYOVD. Un pilote de noyau légitimement signé mais vulnérable est chargé, puis exploité pour obtenir un accès au niveau du noyau. À partir de là, les attaquants peuvent mettre fin à l’agent EDR ou supprimer les callbacks et les fournisseurs ETW (Event Tracing for Windows) avant que la charge utile du ransomware ne soit déclenchée. Il s’agit d’un mode opératoire avéré utilisé actuellement par les attaquants ciblant les environnements d’entreprise.
En juillet 2026, des chercheurs ont mis en évidence l’opération du ransomware GodDamn, qui est en réalité une nouvelle appellation du groupe de ransomware-as-a-service Hyadina. Ce ransomware chargeait le pilote signé PoisonX pour mettre fin aux processus de sécurité et supprimer API en mode utilisateur avant de déployer sa charge utile. Ces intrusions ont suivi un scénario complet : utilisation d’AnyDesk pour l’accès à distance, d’une boîte à outils de collecte d’identifiants basée sur NirSoft, puis arrêt de processus au niveau du noyau visant des cibles américaines dans les secteurs de la santé, de l’industrie et de l’éducation.
Pour les responsables de la sécurité, le phénomène « Bring Your Own Vulnerable Driver » (BYOVD) ne se résume plus à un simple problème pouvant être résolu par des correctifs. Il met en évidence un problème de confiance plus profond au niveau architectural, lié à la manière dont Windows gère les pilotes de noyau signés et aux hypothèses qui reposent sur ce modèle. Toute réponse pertinente commence par une compréhension claire de l’impact du BYOVD sur les contrôles sur lesquels vous vous appuyez.
TL;DR : Points clés à retenir
- Une étude menée par ESET a révélé que 54 des quelque 90 outils « EDR killer » connus utilisent BYOVD, exploitant 35 pilotes signés vulnérables distincts pour obtenir un accès au niveau du noyau.
- BYOVD permet aux pirates de mettre fin aux processus EDR, de désenregistrer les callbacks du noyau et de désactiver la télémétrie avant même que la charge utile d'un ransomware ne s'exécute
- La défense en profondeur échoue lorsque toutes les couches fonctionnent sur le même système d'exploitation hôte ; la compromission d'un seul noyau peut paralyser d'un seul coup l'ensemble de la pile.
- Le sandboxing basé sur l'émulation analyse les fichiers sur une infrastructure isolée, en dehors de l'espace noyau de l'hôte ; ainsi, un agent EDR désactivé ne peut pas empêcher l'émission d'un verdict.
- MetaDefender offre une efficacité de détection des attaques « zero-day » de 99,9 %, à une vitesse 20 fois supérieure à celle des sandbox traditionnelles, avec une efficacité en termes de ressources 100 fois supérieure à celle des approches basées sur des machines virtuelles.
- Les référentiels tels que NIS2, CMMC, NERC CIP et CEI 62443 exigent que les capacités de protection restent opérationnelles dans des conditions défavorables, ce qu’un seul contrôle désactivé par le BYOVD ne peut garantir.
- Lors d'une analyse confirmée d'une boîte à outils BYOVD en temps réel, les fichiers VBoxDrv.sys et Shark.sys ont été identifiés comme MALVEILLANTS avant même que le moindre composant n'ait pu s'exécuter, ce qui démontre que cette technique est actuellement utilisée contre des cibles américaines.
Qu'est-ce qu'une attaque BYOVD et comment désactive-t-elle l'EDR ?
La technique en elle-même n'est pas complexe à mettre en œuvre, mais ses conséquences sont difficiles à maîtriser. Dès lors qu'un attaquant opère au niveau du noyau, la détection comportementale devient inefficace, car le capteur n'est plus présent. Les composants d'analyse et de détection de l'EDR échouent pour la même raison, et l'hypothèse selon laquelle les outils de détection seront présents et opérationnels au moment où cela compte le plus commence à s'effriter.
Selon ESET, 54 des quelque 90 outils de contournement EDR répertoriés par la société utilisent spécifiquement la technique BYOVD en raison de sa fiabilité, exploitant au total 35 pilotes vulnérables. Jakub Souček, chercheur chez ESET, a souligné que les opérateurs de ransomware-as-a-service produisent fréquemment de nouvelles versions de leur programme de chiffrement, et que les outils de contournement basés sur BYOVD leur permettent de conserver ce programme simple et indétectable, tandis qu’un composant distinct se charge de contourner les systèmes de défense.
L'utilisation par le groupe Hyadina de PoisonX, un pilote de noyau publié sur GitHub en tant qu'outil de recherche, puis utilisé quelques semaines plus tard dans le cadre d'attaques réelles par ransomware, montre à quelle vitesse ces outils passent du stade de la « preuve de concept » à celui du déploiement opérationnel. La technique consistant à « aveugler les défenses d'abord, puis chiffrer les données » n'est plus l'apanage des opérateurs sophistiqués.
Les responsables de la sécurité devraient avoir des échanges plus directs avec leur conseil d'administration sur ce que cela implique. L'EDR reste un dispositif de contrôle essentiel, mais il devient de plus en plus difficile de justifier de le considérer comme la dernière ligne de défense.
Pourquoi la stratégie de « défense en profondeur » échoue face au BYOVD
La « défense en profondeur » part du principe qu’aucun contrôle ne constitue à lui seul la dernière ligne de défense et que l’architecture doit tenir compte de la défaillance potentielle de n’importe quelle couche. Dans la pratique, de nombreuses organisations déploient plusieurs outils de protection des terminaux qui partagent la même dépendance sous-jacente : le système d’exploitation hôte. Si ce système d’exploitation est compromis au niveau du noyau, l’ensemble de la pile peut être exposé d’un seul coup.
Le problème central réside dans la surface d'attaque commune, et non dans le nombre d'outils déployés. Un attaquant maîtrisant la technique BYOVD n'a pas besoin de contourner chaque contrôle individuellement. Il lui suffit de charger et d'exploiter un seul pilote vulnérable pour obtenir une exécution au niveau du noyau, ce qui lui permet de désenregistrer les callbacks de l'EDR et de mettre fin aux processus de l'agent avant même que les systèmes de détection résidant sur l'hôte n'aient une chance réelle de réagir.
Le blocage des pilotes vulnérables est une mesure nécessaire, mais elle souffre d’un problème de décalage structurel. Comme l'explique Brigid O Gorman, chercheuse chez Symantec, il s'écoule généralement plusieurs jours, voire souvent plusieurs semaines, entre l'identification d'un pilote et la mise à jour de la liste noire sur les terminaux d'entreprise. En d'autres termes, les attaquants agissent systématiquement plus vite que la mise à jour de la liste. PoisonX a été publié en avril 2026 et utilisé dans une attaque par ransomware dès le mois de juillet. Les cybercriminels qui savent que cette fenêtre existe continueront à l'exploiter.
Pour combler cette lacune, il faut recourir à une analyse qui opère en dehors de la surface d'attaque ciblée par le modèle BYOVD : il s'agit de déplacer certains types d'inspection des menaces hors du terminal, vers une couche isolée inaccessible à une compromission au niveau du noyau, afin d'évaluer les fichiers avant leur exécution. À ce stade, le débat architectural passe du renforcement de la sécurité des terminaux à l'inspection préalable à l'exécution.
Comment le « sandboxing » basé sur l'émulation analyse les fichiers situés en dehors de la « kill zone »
« Les “EDR Killers” ne parviennent pas à déjouer le capteur ; ils se contentent de le supprimer, et tout ce qui en dépend disparaît avec lui », explique Jack Madine, chef de produit senior chez OPSWAT. «MetaDefender comble cette faille en achevant l’analyse avant même que le fichier n’atteigne l’hôte qu’il pourrait masquer. »
MetaDefender est le moteur de décision basé sur l'IA OPSWAT, conçu pour la détection des vulnérabilités « zero-day » au niveau du périmètre réseau. Il repose sur l'émulation d'applications plutôt que sur des machines virtuelles traditionnelles. Cette particularité est directement pertinente pour le modèle BYOVD, car l'environnement d'analyse ne dépend jamais de l'état de santé du terminal qu'il protège.
Les sandbox basées sur des machines virtuelles peuvent faire l'objet d'une identification par empreinte numérique. Les logiciels malveillants les plus sophistiqués détectent souvent les environnements virtualisés et masquent leur comportement malveillant, ce qui se traduit par des verdicts « sains » pour des fichiers qui ne sont en réalité pas inoffensifs. L'infrastructure de machines virtuelles présente également sa propre surface d'attaque, que des attaquants déterminés peuvent explorer ou contourner ; dans certains cas, la sandbox elle-même devient une cible.
Le pipeline à cinq couches MetaDefender adopte une approche différente. La couche 1, « Réputation des menaces », vérifie en temps réel les URL, les adresses IP et les domaines par rapport à des indicateurs de compromission connus. La couche 2, « Analyse prédictiveAlin par IA/ML et analyse statique », prédit la nature malveillante de fichiers inédits à l'aide de modèles d'apprentissage automatique et d'une analyse statique approfondie, détectant ainsi les menaces « zero-day » avant même l'exécution du code.
La couche 3, « Analyse dynamique », émule le comportement des applications au niveau des instructions au sein d’un environnement isolé fonctionnant en dehors de l’espace noyau de l’hôte, sur une infrastructure distincte. La couche 4, « Évaluation des menaces », établit des corrélations entre les indicateurs comportementaux pour générer un score de risque basé sur le niveau de confiance, tandis que la couche 5, « Recherche de menaces », met en correspondance les résultats avec le modèle MITRE ATT&CK et effectue une recherche de similitudes par apprentissage automatique afin d’identifier les familles de logiciels malveillants et les campagnes.
Lors d'une analyse confirmée d'un outil BYOVD « EDR-killer » actif, MetaDefender a détecté la boîte à outils avant même qu'un de ses composants ne puisse s'exécuter. Un pilote VirtualBox légitimement signé (VBoxDrv.sys) — un pilote tiers connu pour être vulnérable et couramment exploité à des fins d’escalade de privilèges au niveau du noyau — a été identifié comme MALICIEUX avec un niveau de confiance maximal et marqué comme BYOVD, aux côtés d’un deuxième pilote de noyau malveillant (Shark.sys) et du chargeur (Sea.exe) conçu pour les déployer.
Comme le verdict est généré par une émulation au niveau des instructions sur une infrastructure isolée, il reste valable, que l'agent de terminal soit encore actif ou non sur l'hôte. C'est précisément cette situation que BYOVD a pour but d'éliminer.
Cette séparation n’implique pas une couverture totale ; aucun contrôle ne peut à lui seul l’assurer. Avec une efficacité de détection des vulnérabilités « zero-day » de 99,9 % et une efficacité en termes de ressources 100 fois supérieure à celle du sandboxing basé sur des machines virtuelles, MetaDefender offre cette couche d’inspection sans la surcharge infrastructurelle qui rend les sandboxes traditionnels impraticables sur le plan opérationnel à grande échelle. L’objectif n’est pas de remplacer la protection des terminaux. Il s’agit de s’assurer que, lorsque la protection des terminaux est contournée, une couche de défense en amont a déjà rempli son rôle.
Pourquoi la résilience est une obligation de conformité et non un simple choix de conception
Pour les organisations soumises aux normes NIS2, CMMC, NERC CIP ou CEI 62443, la résilience s'accompagne d'exigences de contrôle bien définies, et ne se limite pas à une simple intention architecturale. Ces référentiels exigent que les systèmes critiques conservent leurs capacités de protection même dans des conditions défavorables. Une architecture dans laquelle une seule technique BYOVD peut désactiver un contrôle de détection principal a peu de chances de répondre à ces attentes, en particulier lors d'un examen approfondi mené après un incident.
Une analyse préalable à l'exécution, fonctionnant indépendamment de l'état des terminaux, répond directement à ces exigences de résilience. Elle génère également les éléments que les rapports de conformité ont tendance à exiger : des indicateurs de compromission, des TTP (tactiques, techniques et procédures) identifiées, ainsi qu’une notation des risques que les équipes de sécurité peuvent présenter aux conseils d’administration et aux autorités de régulation comme preuve de l’efficacité de contrôles multicouches. Ces preuves ont plus de poids que la documentation relative à des contrôles qui ont été déployés mais qui ont ensuite été contournés.
Reconnu par plus de 2 100 organisations, administrations et institutions à travers le monde, dont 98 % des centrales nucléaires américaines, OPSWAT conçu sa plateforme autour d’un principe clair : « Ne faites confiance à aucun fichier. Ne faites confiance à aucun appareil.™ ». C’est précisément ce principe que les attaques BYOVD exploitent lorsque les organisations le négligent au niveau des terminaux.
Pourquoi la vitesse d'inspection détermine si cela tient la route à grande échelle
La défense en profondeur reste théorique si elle introduit une latence que les opérations ne peuvent pas absorber. Les environnements à haut débit, tels que les services financiers, la défense et les infrastructures critiques, ne peuvent pas faire passer chaque fichier par un bac à sable qui met plusieurs minutes à rendre son verdict. Si une couche d’inspection devient un goulot d’étranglement, les équipes trouvent des moyens de la contourner, et la faille qu’elle était censée combler se rouvre.
L'architecture d'émulation MetaDefender s'articule autour de cette contrainte. Grâce à des besoins en ressources réduits par rapport au sandboxing basé sur des machines virtuelles, associés à des vitesses d'analyse 20 fois supérieures à celles des sandboxes traditionnels, l'inspection peut s'adapter aux volumes de fichiers d'entreprise au sein des pipelines de messagerie, des workflows de transfert de fichiers gérés et des points d'inspection des passerelles. C'est cette rapidité qui fait de l'inspection préalable à l'exécution un contrôle opérationnel standard viable, plutôt qu'une mesure utilisée uniquement après un incident.
Une architecture de sécurité qui résiste à la pression se distingue souvent de celle qui ne fonctionne que sur le papier. Les acteurs malveillants recourant aux techniques BYOVD exploitent l'écart entre les contrôles documentés et la réalité opérationnelle. C'est en comblant cet écart, en plaçant l'inspection à un niveau auquel les attaques au niveau du noyau ne peuvent pas facilement accéder, et en l'exécutant à la vitesse requise par l'environnement, que l'architecture fonctionne dans la pratique.
Les intrusions recensées ont permis de trancher la question de savoir si l'EDR pouvait être désactivé. C'est possible, et cela s'est produit à plusieurs reprises. La question qui reste en suspens est de savoir comment détecter la menace avant qu'elle n'ait l'occasion d'agir. Découvrez comment MetaDefender propose une inspection préalable à l'exécution qui fonctionne indépendamment de l'état du terminal.
Lectures complémentaires
MetaDefender Page produitMetaDefender
Article de blog associé : Les logiciels malveillants évasifs ont dépassé les capacités de détection traditionnelles basées sur les machines virtuelles
Témoignage client : Une institution financière mondiale anticipe la protection contre les vulnérabilités « zero-day » grâce à MetaDefender
Questions fréquemment posées
Qu'est-ce qu'une attaque BYOVD ?
Le BYOVD (Bring Your Own Vulnerable Driver) est une technique par laquelle les attaquants chargent un pilote de noyau légitime, signé mais vulnérable, afin d'obtenir des privilèges de niveau Ring 0, puis utilisent cet accès pour mettre fin aux processus EDR, désactiver la télémétrie et ouvrir la voie à une charge utile de ransomware.
Combien d'outils de contournement EDR utilisent BYOVD ?
Selon ESET, 54 des quelque 90 outils de contournement EDR répertoriés s'appuient sur BYOVD, exploitant 35 pilotes signés vulnérables distincts pour obtenir un accès au niveau du noyau.
La mise sur liste noire des pilotes vulnérables peut-elle mettre fin aux attaques BYOVD ?
La mise sur liste noire bloque les pilotes dont la vulnérabilité est connue, mais les cybercriminels se rabattent sur des pilotes signés qui ne figurent pas encore sur la liste, tandis que les opérateurs les plus expérimentés exploitent des vulnérabilités « zero-day » dans des pilotes inconnus de Microsoft et des fournisseurs d’EDR, ce qui leur permet de contourner totalement l’application de la liste noire.
Pourquoi les sandbox basées sur des machines virtuelles sont-elles vulnérables aux techniques de contournement ?
Les sandbox basées sur des machines virtuelles peuvent faire l'objet d'une identification, et les logiciels malveillants avancés détectent souvent l'environnement virtualisé et masquent leur comportement malveillant afin d'obtenir un verdict « propre », même si le fichier n'est pas inoffensif.
Comment le sandboxing par émulation résiste-t-il aux attaques BYOVD ?
Le sandboxing par émulation, tel que MetaDefender , analyse les fichiers sur une infrastructure isolée fonctionnant en dehors de l'espace noyau de l'hôte. Une attaque BYOVD qui désactive l'agent EDR du terminal ne peut pas accéder à cet environnement d'analyse distinct ; l'inspection et la génération du verdict se poursuivent donc quel que soit l'état de l'hôte.
L'inspection préalable à l'exécution remplace-t-elle l'EDR ?
Non. L'EDR reste un contrôle important dans l'architecture globale. L'inspection préalable à l'exécution ajoute une couche qui accomplit sa tâche avant qu'un attaquant n'ait la possibilité de désactiver les contrôles basés sur l'hôte, renforçant ainsi la résilience par couches plutôt que de se substituer à la protection des terminaux.
