Los actores de ransomware están constantemente perfeccionando sus arsenales para eludir las defensas modernas. Una campaña reciente del grupo Black Basta ha introducido un cambio táctico significativo al incorporar un componente de "Bring Your Own Vulnerable Driver" (BYOVD) directamente en el propio payload del ransomware. Esta integración representa una desviación notable de los procedimientos operativos estándar, donde las herramientas de evasión de defensas.

Los actores de ransomware están refinando constantemente sus arsenales para eludir las defensas modernas.

Una campaña reciente del grupo Black Basta ha introducido un cambio táctico significativo al integrar un componente de «Bring Your Own Vulnerable Driver» (BYOVD) directamente en el propio payload del ransomware.

Esta integración marca una desviación notable de los procedimientos operativos estándar, donde las herramientas de evasión de defensas suelen desplegarse como archivos separados antes de que comience la fase de cifrado.

El objetivo principal de esta técnica es incapacitar el software de seguridad en la máquina de la víctima.

Al aprovechar un controlador legítimo y firmado que contiene vulnerabilidades, los atacantes pueden ejecutar código con privilegios a nivel de kernel.

Este acceso les permite terminar procesos de antivirus y detección de endpoints que, de otro modo, bloquearían el ransomware.

Este método agiliza la cadena de ataque, haciéndolo más rápido y significativamente más difícil de interceptar para los defensores antes de que ocurra el daño.

Analistas de Symantec identificaron la nueva capacidad del malware durante una investigación sobre el grupo cibercriminal Cardinal.

Este desarrollo es particularmente significativo porque sugiere un retorno a las operaciones activas de Cardinal, tras un período de relativa inactividad después de que sus registros internos de chat fueran filtrados a principios de 2025.

Los investigadores señalaron que, aunque la integración de componentes de evasión no es del todo nueva en el panorama, esta implementación específica nunca se había observado en campañas anteriores de Black Basta.

La integración del controlador vulnerable actúa como un escudo robusto contra la detección. Una vez ejecutado el payload, intenta neutralizar las defensas de inmediato, dejando el sistema expuesto al cifrado.

Esto indica un mayor nivel de sofisticación y una posible tendencia que otras familias de ransomware podrían adoptar para eludir los protocolos de seguridad modernos.

Mecánica operativa del controlador vulnerable

El núcleo de este mecanismo de evasión se basa en el abuso de un controlador vulnerable del kernel de Windows, identificado como NsecSoft NSecKrnl.

Al ejecutarse, el payload del ransomware descarga este controlador y crea un servicio para facilitar su operación. El controlador sufre una vulnerabilidad crítica, registrada como CVE-2025-68947, que no verifica adecuadamente los permisos del usuario.

Este descuido permite a los atacantes enviar solicitudes maliciosas de Control de Entrada/Salida para terminar procesos protegidos.

El malware apunta específicamente a una lista exhaustiva de agentes de seguridad, incluyendo SophosHealth.exe, MsMpEng.exe y varias otras herramientas de detección.

Al cegar efectivamente los monitores del sistema, el ransomware añade la extensión .locked a los archivos sin interrupciones.

Además, se observó un cargador sospechoso inyectado en redes semanas antes, lo que apunta a un posible tiempo de permanencia prolongado.

Para mitigar este riesgo, se recomienda a las organizaciones consultar el último Boletín de Protección de Symantec para obtener indicadores actualizados de compromiso.