引言：内核态攻防的博弈
在网络安全对抗中，攻击者获取系统最高权限的“捷径”往往不是复杂的漏洞挖掘，而是利用合法的、带有数字签名的驱动程序。这种被称为“自带恶意驱动（Bring Your Own Vulnerable Driver，简称BYOVD）”的攻击手段，正成为勒索病毒组织及高级威胁行动者的标准配置。从我们的应急响应经验来看，攻击者通过加载存在已知漏洞的合法驱动，能够绕过内核态保护机制，进而篡改内存或强制关闭安全软件，这一环节往往是很多企业安全防护体系中容易忽视的盲区。
BYOVD攻击链拆解
BYOVD攻击的核心逻辑在于“利用信任”。攻击者首先会寻找那些虽然有微软官方签名、但已被公开披露存在漏洞的驱动程序。一旦成功将这些驱动加载至内核空间，攻击者便获得了对操作系统的底层控制权。
在实际案例中，我们曾观察到类似手法被广泛用于勒索软件部署的前奏。例如，某些反病毒软件的旧版本驱动（如aswArPot.sys）因具备内核权限，曾被Cuba勒索组织及GHOSTENGINE行动利用，通过该驱动强行终止受保护的系统进程。这一过程由于驱动本身具有合法签名，传统的签名验证机制往往会失效。
自动化防御与实时响应的必要性
类似攻击近年来明显增加，其核心优势在于“时间窗口”。从漏洞公开到安全厂商更新防御规则，往往存在滞后。为了填补这一空白，目前业界倾向于采用自动化检测方案：通过持续监控VirusTotal、LOLDrivers等公开情报源，并结合微软的封禁列表，实现检测规则的秒级生成与部署。
从Solar团队的视角来看，单纯依靠规则库已不足以应对威胁。现代防御体系应当具备以下能力：
- 驱动加载前的实时校验：在驱动执行加载操作前，必须通过全局封禁列表进行比对。
- 异常行为告警：即便是未被明确标记的驱动，若在环境中首次出现并尝试调用敏感内核接口，也应触发高危告警。
- 规则透明化：安全团队应能清晰识别触发告警的驱动来源及检测逻辑，以便在应急响应时快速溯源。
安全建议与Solar经验
针对BYOVD威胁，我们建议企业采取以下加固措施： 首先，在终端防护策略中，应将驱动程序的防护等级调至“拦截（Prevent）”模式，而非仅做记录。 其次，关注设备的多样化防护。随着ARM架构设备（如Snapdragon笔记本）在办公场景的普及，确保安全代理能够覆盖跨架构终端，并保持统一的遥测能力，是防范攻击者利用非主流平台绕过检测的关键。 最后，利用自动化工具进行故障排查。在面对复杂驱动冲突或策略失效时，应优先采用具备自动诊断能力的工具，减少分析师在海量日志中检索的时间成本。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com