L'interruzione dei software di sicurezza consiste nell'arrestare o disabilitare deliberatamente strumenti di protezione, come antivirus, soluzioni di rilevamento e risposta degli endpoint (EDR) o agenti di monitoraggio. Gli aggressori possono farlo per ridurre la probabilità che le loro azioni successive - come il furto di credenziali, il movimento laterale o la cifratura tramite ransomware - vengano rilevate o bloccate.
Negli attacchi reali, il malware può tentare di arrestare processi di sicurezza o abusare di componenti con privilegi elevati, inclusi driver vulnerabili o legittimi, per interferire con le protezioni. I difensori possono monitorare arresti imprevisti di servizi o processi, caricamenti insoliti di driver e avvisi di manomissione. Limitare l'installazione dei driver, abilitare la protezione antimanomissione e indagare sulle perdite improvvise di visibilità sugli endpoint può aiutare a rilevare questo comportamento prima delle fasi successive dell'attacco.