Novas Táticas de Evasão de EDR Abusam de Recurso do Windows para Ocultar Ataques

A Bitdefender Labs desvendou três novas táticas de evasão de EDR que exploram o driver minifiltro bindflt.sys do Windows. Este recurso, legítimo e usado por aplicações como o Windows Sandbox e containers, permite a virtualização de sistemas de arquivos, redirecionando um caminho local para outro sem modificar o arquivo original no disco. Os atacantes, com acesso de administrador local, estão usando esta capacidade para mascarar códigos maliciosos e burlar a detecção de soluções de segurança.

As técnicas foram batizadas de File-Binding, Process-Binding e Silo-Binding. A File-Binding permite que um processo abra um caminho confiável, mas receba um arquivo controlado pelo atacante. Por exemplo, pode-se substituir o amsi.dll do Windows por uma versão maliciosa. A Process-Binding aplica isso a executáveis, fazendo com que um processo legítimo (como winver.exe) execute outro código (como cmd.exe) enquanto a telemetria do sistema ainda o identifica como o original. Já a Silo-Binding cria uma visão de sistema de arquivos diferente dentro de um silo do Windows, dificultando a detecção de fora. Todas elas aproveitam o conceito de

Esta nova pesquisa detalha uma abordagem inédita para evasão de EDR e escalada de privilégios. Diferente dos ataques noticiados pelo CEVIU em 19 de junho de 2026, que usavam políticas de QoS do Windows para sufocar agentes de EDR, as técnicas atuais abusam de uma funcionalidade kernel legítima e central do sistema, o bindflt.sys. Isso cria uma camada de ofuscação mais profunda no sistema de arquivos.

A escalada de privilégios reportada, que permite a usuários do Docker elevar para SYSTEM via bindflt.sys, introduz um vetor novo. Artigos anteriores do CEVIU, como a matéria de 11 de julho de 2026 sobre o Windows Installer e outra sobre manipulação de serviços do Windows, detalhavam outras falhas e táticas para escalada. Contudo, o abuso de bindflt.sys para este fim, inclusive num cenário Docker, é uma evolução na criatividade dos atacantes, usando um recurso do sistema de uma forma não explorada antes para esses objetivos.

A descoberta dessas técnicas é crítica porque elas subvertem premissas básicas de muitas ferramentas de segurança. EDRs, AppLocker, regras de firewall baseadas em caminho e até mesmo o monitoramento forense dependem da confiança de que um caminho de arquivo aponta para o arquivo que se espera. Ao redirecionar essa resolução de caminho em nível de kernel via bindflt.sys, os atacantes podem fazer com que sistemas e defensores vejam uma coisa, enquanto outra completamente diferente é executada.

Para empresas, isso significa que as defesas tradicionais podem ser cegas a atividades maliciosas. É urgente que as equipes de segurança revalidem como suas ferramentas lidam com a resolução de arquivos e investiguem a capacidade de seus fornecedores de EDR de detectar e mitigar abusos de bind-links. A complexidade e a stealthiness dessas táticas exigem uma reavaliação das estratégias de detecção e resposta a incidentes.