對於許多剛接觸資安的工程師來說，可能會認為只要安裝了強大的防毒軟體或 EDR（Endpoint Detection and Response，端點偵測與回應系統），就能有效防止惡意程式執行。然而，近期被發現的 GodDamn 勒索軟體揭露了一個極其危險的攻擊路徑：BYOVD。
什麼是 BYOVD 攻擊
BYOVD 全稱是 Bring Your Own Vulnerable Driver，中文可譯為 自帶漏洞驅動程式攻擊。要理解這個概念，首先要知道 Windows 系統的權限分層。應用程式通常運行在 User Mode（使用者模式），權限受限；而驅動程式運行在 Kernel Mode（核心模式），擁有系統最高權限。
正常情況下，Windows 為了安全，要求所有進入核心模式的驅動程式必須經過微軟的數位簽章（Digital Signature）認證，以證明該驅動程式來源可靠且未被篡改。
BYOVD 的核心邏輯在於：攻擊者並不嘗試開發一個全新的惡意驅動（因為拿不到簽章），而是直接找一個合法、有簽章但存在已知漏洞的舊版驅動程式，將其安裝到受害機器上。由於該驅動有合法簽章，Windows 會信任並允許其載入核心。一旦載入，攻擊者便利用該驅動內建的漏洞，從使用者模式跳級到核心模式，獲取最高控制權。
GodDamn 勒索軟體的實務分析
GodDamn 是由名為 Hyadina 的開發者所創造的勒索軟體家族，其演進路徑從 Monster 到 Beast，最後演變成目前的 GodDamn。這次攻擊最值得關注的是它使用了名為 PoisonX 的驅動程式。
PoisonX 的特殊之處在於，它不僅僅是一個有漏洞的合法驅動，而是一個成功獲取微軟簽章的惡意驅動程式。這意味著它在進入系統時幾乎不會觸發任何簽章警告。
一旦 PoisonX 驅動程式在核心模式中運行，GodDamn 勒索軟體會執行以下防禦規避動作：
第一，直接終止進程。利用核心權限強行關閉防毒軟體或 EDR 的執行程序。
第二，剝奪權限。讓安全軟體看似在運行，但將其必要的系統權限剔除，使其無法攔截任何操作。
第三，核心層級的致盲。直接修改核心內部的記錄表，讓安全軟體不再接收到系統發出的事件通知。這就像是把監視器的螢幕切斷，雖然監視器還在轉，但後台管理員看不到任何畫面。
完整的攻擊鏈脈絡
這場攻擊並非單靠一個驅動程式完成，而是一個完整的攻擊鏈：
首先是權限獲取與橫向移動。攻擊者利用 AnyDesk 進行遠端存取，並使用 PsExec 工具在內網的不同主機間移動。為了確保重啟後仍能控制，他們會將 AnyDesk 註冊為 Windows 自動啟動服務。
其次是資訊竊取。在部署勒索軟體前，他們會使用基於 NirSoft 的工具集，從瀏覽器、Windows 憑據管理員、VNC 視窗以及網路流量中抓取帳號密碼。
最後是防禦癱瘓與加密。在確認拿到足夠權限後，部署 PoisonX 驅動程式癱瘓端點防禦，最後才執行加密程式，將檔案鎖定並要求贖金。
對工程師的啟示與限制
BYOVD 攻擊之所以強大，是因為它利用了信任鏈的漏洞。只要驅動程式有簽章，系統就信任它。這對維運人員的啟示是：僅僅依賴軟體安裝是不夠的，必須關注驅動程式的載入紀錄以及異常的核心模式操作。
目前針對此類攻擊的防禦方向包括啟用 Windows 的 VBS（Virtualization-based Security，基於虛擬化的安全機制）以及配置驅動程式封鎖清單（Driver Blocklist），禁止已知有漏洞的簽章驅動程式載入。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。