RONINGLOADER usa driver assinado para desativar Defender e EDR
Analistas documentam campanha do loader RONINGLOADER que entrega uma variante do gh0st RAT via instaladores trojanizados e usa um driver assinado (ollama.sys) para encerrar processos de segurança em nível kernel. Elastic detectou abuso de Protected Process Light; não há CVE ou contagem pública de vítimas.