O novo era do ransomware Reynolds: um payload que traz seu próprio driver vulnerável para desativar defesas e elevar privilégios

Pesquisadores em segurança descobriram uma variação preocupante na operação de ransomware: uma família apodada Reynolds Reynolds que integra diretamente dentro de seu executável um componente de evasão baseado em controladores vulneráveis, o que na seringa da indústria é conhecido como BYOVD (bring your own vulnerável driver). Em vez de implantar uma ferramenta separada para desativar as soluções de proteção, o próprio binário do ransomware entrega e carga um driver legítimo, mas com falhas conhecidas, e serve-se dele para eliminar processos de segurança e elevar privilégios.

BYOVD não é uma invenção nova, mas sua inclusão “todo em um” no payload do ransomware eleva o risco e complica a detecção. A técnica, que explora controladores assinados mas com vulnerabilidades para terminar processos ou anular controlos, tem sido documentada em múltiplos incidentes anteriores; por exemplo, as análises sobre ataques envolvendo Ryuk em 2020 e outros incidentes mais recentes mostram como os atores criminosos têm contado com controladores de terceiros para desativar EDRs e antivírus ( Fortinet).

No caso de Reynolds, o componente embebido deixa cair um driver de NsecSoft chamado NSecKrnl — um módulo com uma vulnerabilidade pública identificada como CVE-2025-68947 — e a partir daí, procede-se a concluir processos associados a produtos amplamente implantados em empresas: desde Avast e CrowdStrike Falcon até Palo Alto Networks Cortex XDR, Sophos e Symantec, entre outros. Pesquisadores salientaram que atores como “Silver Fox” já haviam aproveitado drivers similares em campanhas prévias para preparar o terreno a cargas adicionais como o conhecido RAT ValleyRAT ( Hexastrike, Cybereason).

A incorporação direta do driver vulnerável dentro do ransomware faz com que o ataque seja mais “silencioso” e reduza a necessidade de passos intermédios por parte de um afiliado: não há um arquivo separado que deixe vestígios adicionais na rede ou uma implantação prévia que os defensores possam detectar. Segundo as assinaturas que analisaram a amostra, além do próprio BYOVD o ataque mostrado por Reynolds tinha sinais típicos de operação organizada: presença prévia de um carregador lateral (side-loaded loader) semanas antes da ativação do ransomware, e a posterior instalação de uma ferramenta de acesso remoto (GotoHTTP) após a corrupção dos sistemas, sugerindo intenção de manter acesso e de realizar manobras de pós-explotação.

Este padrão faz parte de uma tendência mais ampla: nos últimos meses e anos os grupos de ransomware têm profissionalizado suas cadeias de valor e diversificado técnicas. Alguns atores desenvolveram “serviços” e ferramentas próprias para apoiar afiliados, como relatórios e scripts de extorsão do DragonForce, enquanto outros modernizaram suas capacidades técnicas – LockBit 5.0, por exemplo, passou a usar ChaCha20 e ampliou seu alcance multiplataforma, além de incorporar técnicas anti-análises e componentes que atuam como wipers – ( LevelBlue, LevelBlue).

Em paralelo, os vetores de entrega continuam evoluindo. Campanhas maciças de phishing que usam acessos diretos (.LNK) para executar PowerShell e baixar droppers serviram para propagar famílias como GLOBAL GROUP, que até pode operar sem depender de comunicações externas e é compatível com ambientes air-gapped ( Forcepoint). Outros operadores têm abusado de infra-estruturas de virtualização mal configuradas para implantar em escala VMs que atuem como hosts de entrega, aproveitando modelos com identificadores estáticos para complicar a mitigação por parte dos defensores ( Sophos, Seqrite).

Os números recentes confirmam o embate: o aparecimento constante de novos grupos e a colaboração entre bandas tradicionais mantiveram a pressão sobre organizações de todo tamanho. Relatórios da indústria apontam que a actividade de extorsão por roubo de dados aumentou e que os pagamentos médios de resgate foram disparados em certos trimestres, impulsionados por algumas negociações “excepcionais” que distorcem a média ( ReliaQuest, Coveware).

Diante desse cenário, as defesas convencionais requerem ajustes. Os drivers são um elo crítico: permitir a instalação indiscriminada de drivers de terceiros ou manter modelos de máquina virtual sem revisar abre vetores fáceis de explorar. Manter uma política de allowlisting de drivers, aplicar adesivos tão cedo quanto disponíveis - especialmente para erros divulgados publicamente como o CVE mencionado - e monitorar comportamentos anormais de processos e cargas de kernel traz uma barreira importante. As recomendações de organismos como a CISA e as práticas de hardening de endpoints e backups permanecem fundamentais ( CISA).

Também é importante que os equipamentos de segurança vigilem sinais precoces de compromisso: side-loading de binários legítimos, implantaçãos “silenciosos” de drivers, ferramentas de acesso remoto instaladas a posteriori e movimentos laterais que precedem a ativação da criptografia. Ferramentas de detecção que analisem a telemetria do kernel e correlacionem eventos na rede podem descobrir intrusões antes que o ator ponha em marcha o componente destrutivo do ataque.

Para as organizações, a recomendação prática é rever a cadeia de confiança de todos os controladores instalados, limitar privilégios para a instalação de drivers, segregar funções críticas na rede e manter cópias de segurança imutávels fora de linha. Prevenir a execução de binários não esperados e auditar modelos de máquinas virtuais são passos que hoje pesam tanto quanto os adesivos e o reforço de endpoints.

A lição que deixam casos como Reynolds é clara: os atacantes não dependem apenas de uma técnica; buscam combinar componentes até que a operação seja robusta e silenciosa. Defender-se exige tanto controles técnicos em profundidade como processos organizacionais que reduzam a superfície de ataque e acelerem a resposta. Num panorama onde os métodos são profissionalizados e embalados, a resiliência é construída antes do incidente, não só depois.