L'abuso di driver è l'uso improprio di un driver legittimo, spesso firmato o vulnerabile, per eseguire azioni che il malware in modalità utente normale non può compiere. Gli attaccanti possono caricare un driver per accedere a funzioni a livello di kernel, indebolire i controlli di sicurezza, terminare processi protetti o modificare la memoria e lo stato del sistema con privilegi più elevati.
Questo è importante perché i driver sono componenti fidati in molti sistemi, quindi abusarne può aiutare il malware a aggirare le difese e ridurre la visibilità. Negli attacchi reali, l'abuso di driver spesso si presenta come comportamento di tipo "bring your own vulnerable driver": l'operatore installa un driver vecchio o difettoso e lo usa per disabilitare la protezione endpoint o interferire con il monitoraggio. I difensori rispondono bloccando i driver noti malevoli, applicando allowlist di driver, monitorando installazioni insolite di driver e cercando segnali che indichino manomissioni degli strumenti di sicurezza.