Lo m\u00e1s importante en resumen<\/p>\n
- \n
- La firma no es protecci\u00f3n.<\/strong> Un controlador de kernel con firma v\u00e1lida llamado PoisonX finaliza los procesos de defensa del endpoint y elimina sus hooks. La consola permanece en silencio.<\/li>\n
- Bastan permisos de administrador.<\/strong> Windows carga autom\u00e1ticamente el controlador firmado en el kernel. No se necesita ning\u00fan exploit adicional ni CVE.<\/li>\n
- La detecci\u00f3n vence a la confianza.<\/strong> La telemetr\u00eda de carga de controladores, la lista de bloqueo de controladores vulnerables y la minimizaci\u00f3n consecuente de privilegios act\u00faan donde falla la verificaci\u00f3n de firmas.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/strong> Qu\u00e9 diferencia realmente a EDR y XDR<\/a> \u00b7 C\u00f3mo se desarrolla un ataque de ransomware<\/a><\/p>\n
Qu\u00e9 hay detr\u00e1s del controlador firmado<\/h2>\n
\u00bfQu\u00e9 es un ataque BYOVD?<\/strong> \u00abBring Your Own Vulnerable Driver\u00bb (Trae tu propio controlador vulnerable) describe una t\u00e9cnica en la que un atacante con permisos de administrador introduce en el sistema un controlador con firma v\u00e1lida, pero defectuoso o malicioso. Windows verifica la firma, la considera correcta y carga el controlador en el kernel. No se necesita un exploit adicional.<\/p>\n
En el caso de GodDamn, el controlador se llama PoisonX y tiene una firma aut\u00e9ntica del Microsoft Windows Hardware Compatibility Publisher. Symantec destaca una particularidad: el BYOVD cl\u00e1sico abusa de un controlador leg\u00edtimo, pero vulnerable. En cambio, PoisonX es un controlador malicioso desde el principio, que sus desarrolladores han logrado hacer pasar por la verificaci\u00f3n de firmas. Una vez cargado, finaliza los procesos de la defensa del endpoint y elimina los hooks en modo usuario, a trav\u00e9s de los cuales el antivirus y el EDR monitorizan el sistema. El agente sigue formalmente activo, pero su visi\u00f3n de lo que ocurre ha desaparecido.<\/p>\n
GodDamn no es un desarrollo nuevo. Broadcom atribuye esta familia a un actor llamado Hyadina y la considera sucesora de Beast, que a su vez surgi\u00f3 de la l\u00ednea m\u00e1s antigua Monster. PoisonX no aparece solo en este grupo. El controlador ya est\u00e1 documentado en otras cajas de herramientas y, por tanto, es un componente com\u00fan, no un caso aislado.<\/p>\n
La larga fase previa al cifrado<\/h2>\n
El cifrado est\u00e1 al final de una cadena, no al principio. En la campa\u00f1a descrita por Symantec, los atacantes obtuvieron acceso a trav\u00e9s de la herramienta de mantenimiento remoto AnyDesk y la colocaron en un lugar discreto dentro del perfil de usuario. Despu\u00e9s, utilizaron un conjunto de herramientas NirSoft de libre acceso para recopilar credenciales.<\/p>\n
Solo entonces los atacantes se movieron lateralmente por la red, desactivaron Defender mediante sus propios comandos de administraci\u00f3n y configuraron servicios para la persistencia. Hasta el despliegue del ransomware, se vieron afectados unos diez sistemas. Esta fase previa dura horas o incluso d\u00edas. Es la verdadera ventana de detecci\u00f3n.<\/p>\n
Por qu\u00e9 la confianza en las firmas llega a sus l\u00edmites<\/h2>\n
La suposici\u00f3n generalizada es: lo que est\u00e1 firmado es de confianza. El caso PoisonX lo desmiente. Una firma v\u00e1lida acredita el origen de un c\u00f3digo, pero no dice nada sobre su intenci\u00f3n. En cuanto un atacante obtiene derechos de administrador, la firma se convierte en el pase de entrada al kernel.<\/p>\n
Microsoft aborda esto con una lista de bloqueo de controladores problem\u00e1ticos conocidos y con integridad de c\u00f3digo protegida por hipervisor. Ambos mecanismos ayudan, pero act\u00faan de forma reactiva. Entre el descubrimiento de un controlador malicioso y su inclusi\u00f3n en la lista de bloqueo existe una ventana. No todos los sistemas tienen activada la aislamiento del n\u00facleo. La compatibilidad con software antiguo retrasa adem\u00e1s su implementaci\u00f3n.<\/p>\n
Qu\u00e9 aporta concretamente el Detection Engineering<\/h2>\n
La clave est\u00e1 en el comportamiento, no en la firma. La carga de un controlador del kernel es un evento raro y f\u00e1cilmente observable. Sysmon lo registra con hash, estado de la firma y ruta. Un controlador que se carga desde una carpeta de usuario en lugar del directorio del sistema es una se\u00f1al clara.<\/p>\n
Igualmente revelador es la creaci\u00f3n de un servicio del kernel desde una fuente inusual, as\u00ed como la finalizaci\u00f3n repentina de procesos de seguridad. Quien correlacione estos tres eventos ver\u00e1 el ataque antes de que comience el cifrado.<\/p>\n
\nRevisar de inmediato<\/p>\n
- \n
- ✓<\/span>Activar el aislamiento del n\u00facleo y la integridad de la memoria (HVCI) en los endpoints donde el hardware y los controladores lo permitan.<\/li>\n
- ✓<\/span>Aplicar la lista de bloqueo de controladores vulnerables de Microsoft y complementarla con reglas WDAC propias contra controladores de abuso conocidos de LOLDrivers.<\/li>\n
- ✓<\/span>Alertar sobre eventos de carga de controladores (Sysmon Evento 6) en rutas inusuales, as\u00ed como sobre la instalaci\u00f3n de servicios del kernel (Registro del sistema 7045).<\/li>\n
- ✓<\/span>Activar la protecci\u00f3n contra manipulaciones del EDR para que el agente no pueda desactivarse f\u00e1cilmente.<\/li>\n
- ✓<\/span>Eliminar los derechos de administrador local en el uso cotidiano, aplicar LAPS y un modelo de estratificaci\u00f3n.<\/li>\n<\/ul>\n<\/div>\n
La minimizaci\u00f3n de privilegios como requisito<\/h2>\n
Todas las medidas mencionadas comparten un requisito. Sin derechos de administrador, ning\u00fan atacante carga un controlador en el kernel. Precisamente por eso, la minimizaci\u00f3n de privilegios est\u00e1 al inicio de cualquier respuesta efectiva, no al final.<\/p>\n
En concreto, esto significa: no otorgar derechos de administrador local permanentes, acceso Just-in-Time para tareas privilegiadas, LAPS para las cuentas locales y una estratificaci\u00f3n que mantenga a los administradores de dominio alejados de los endpoints. Las listas de bloqueo, HVCI y la telemetr\u00eda despliegan su efecto solo cuando los derechos de administrador ampliamente distribuidos no hacen ya la mitad del trabajo a los atacantes.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n
\n\u00bfQu\u00e9 es un ataque BYOVD?<\/strong><\/summary>\n
Bring Your Own Vulnerable Driver (Trae tu propio controlador vulnerable) se refiere a la introducci\u00f3n de un controlador firmado v\u00e1lidamente, pero defectuoso o malicioso, por parte de un atacante con derechos de administrador. Windows conf\u00eda en la firma y carga el controlador en el kernel, donde se ejecuta con los m\u00e1ximos privilegios.<\/p>\n<\/details>\n
\n\u00bfEs suficiente un EDR actualizado contra esta t\u00e9cnica?<\/strong><\/summary>\n
No por s\u00ed solo. El controlador firmado ataca directamente al sistema de defensa y le resta visibilidad. La detecci\u00f3n solo resulta efectiva en combinaci\u00f3n con protecci\u00f3n contra manipulaci\u00f3n, telemetr\u00eda de controladores y la retirada de derechos de administrador.<\/p>\n<\/details>\n
\n\u00bfProtege de forma fiable la Microsoft Vulnerable Driver Blocklist?<\/strong><\/summary>\n
Ayuda, pero act\u00faa de forma reactiva. Entre el descubrimiento de un controlador y su inclusi\u00f3n en la lista, queda una ventana de exposici\u00f3n. Las propias reglas WDAC contra controladores conocidos por su mal uso cierran parcialmente esta brecha.<\/p>\n<\/details>\n
\n\u00bfC\u00f3mo se detecta el ataque en el registro?<\/strong><\/summary>\n
Tres eventos son reveladores: la carga de un controlador de kernel desde una carpeta de usuario, la creaci\u00f3n de un servicio de kernel desde una fuente inusual y el cierre repentino de procesos de seguridad. Correlacionados, ofrecen una imagen clara.<\/p>\n<\/details>\n
\n\u00bfCu\u00e1l es el primer paso m\u00e1s importante?<\/strong><\/summary>\n
La reducci\u00f3n de los derechos de administrador distribuidos de forma generalizada. Sin estos derechos, no es posible cargar un controlador en el kernel. Todas las dem\u00e1s medidas de control se basan en esto.<\/p>\n<\/details>\n
Lecturas recomendadas por la redacci\u00f3n<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/was-ist-edr-xdr-cover-hero-250x143.jpg\")
<\/span>Lectura recomendada<\/span>Qu\u00e9 diferencia realmente a EDR y XDR<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/was-ist-ransomware-cover-hero-250x143.jpg\")
<\/span>Lectura recomendada<\/span>C\u00f3mo se desarrolla un ataque de ransomware<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/sov-report-2026-schwachstellen-tempo-cover-hero-250x141.jpg\")
<\/span>Lectura recomendada<\/span>Cuando los atacantes son m\u00e1s r\u00e1pidos que el parche<\/span><\/span><\/a><\/p>\nM\u00e1s del MBF Media Netzwerk<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-ki-modell-denken-anthropic-j-space-86585047.jpg\")
<\/span>cloudmagazin<\/span>Por primera vez se puede observar a una IA pensando<\/span><\/span><\/a>![\"\"](\"https:\/\/mybusinessfuture.com\/wp-content\/uploads\/2026\/07\/ki-mittelstand-pilot-skalierung-roi-roadmap-cover-hero-760x434.jpg\")
<\/span>MyBusinessFuture<\/span>IA en las pymes: del piloto a la escalabilidad<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-konglomerat-holding-aumovio-tkms-siemens-42852037-250x143.jpg\")
<\/span>Digital Chiefs<\/span>La TI decide si la escisi\u00f3n vale la pena<\/span><\/span><\/a><\/p>\nFuente de la imagen: generada por IA (julio de 2026)<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"Ciberseguridad: Un controlador de kernel firmado por Microsoft desactiva la protecci\u00f3n EDR.","protected":false},"author":10,"featured_media":21989,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"with a maximum of 1 to 4 words. Let me start by breaking down the terms. First, \"BYOVD\" \u2013 I'm not immediately familiar with this acronym. It might","_yoast_wpseo_title":"Un control de punto final ciego debido a un controlador firmado","_yoast_wpseo_metadesc":"Ciberseguridad: Un controlador de kernel firmado por Microsoft desactiva la protecci\u00f3n EDR.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[254],"tags":[74],"class_list":["post-22006","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung","tag-ransomware"],"evm_reading_time_minutes":8,"wpml_language":"es","wpml_translation_of":21988,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22006","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=22006"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22006\/revisions"}],"predecessor-version":[{"id":22007,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22006\/revisions\/22007"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/21989"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=22006"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=22006"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=22006"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- ✓<\/span>Aplicar la lista de bloqueo de controladores vulnerables de Microsoft y complementarla con reglas WDAC propias contra controladores de abuso conocidos de LOLDrivers.<\/li>\n
- Bastan permisos de administrador.<\/strong> Windows carga autom\u00e1ticamente el controlador firmado en el kernel. No se necesita ning\u00fan exploit adicional ni CVE.<\/li>\n