近期多起勒索軟體攻擊揭露了攻擊者如何利用已知漏洞、合法工具以及底層驅動程式漏洞來癱瘓企業防線。對於維運與資安工程師來說，理解這些攻擊路徑比單純更新補丁更重要，因為現代攻擊者傾向於「隱藏在合法流量中」並直接從內核層級摧毀防禦系統。
本文將以 Anubis、The Gentlemen 以及 VECT 等勒索軟體集團的實務手法為例，分析其攻擊鏈的關鍵環節。
初始進入點：漏洞利用與憑證盜用
攻擊者進入企業內網的第一步通常是尋找進入點。目前觀察到兩種主流路徑。
首先是利用高風險漏洞。例如 Anubis 集團利用了被稱為 Citrix Bleed 2 的漏洞（CVE-2025-5777）。這是一個影響 Citrix NetScaler ADC 與 Gateway 的嚴重漏洞，允許攻擊者在特定配置下繞過身份驗證（Authentication Bypass），直接取得進入權限。這類漏洞之所以危險，是因為它直接擊中了企業的門戶，讓攻擊者無需密碼即可進入內網。
其次是利用合法憑證。許多攻擊者透過初始訪問經紀人（Initial Access Brokers, IABs）購買已盜取的 VPN 帳號，或利用憑證填充（Credential Stuffing）等暴力手段登入。一旦持有合法的 VPN 憑證，攻擊者的行為在日誌中看起來就像是正常的員工遠端辦公，極難被偵測。
橫向移動與持久化：將合法工具武器化
進入內網後，攻擊者不會立即啟動加密程序，而是會進行橫向移動（Lateral Movement），即在內網中從一台機器跳轉到另一台，尋找高權限帳號或敏感資料。
這裡出現了一個關鍵趨勢：濫用 RMM 工具。RMM（Remote Monitoring and Management，遠端監控與管理）是 IT 工程師用來管理伺服器的合法工具，例如 ScreenConnect 或 Zoho Assist。攻擊者故意安裝這些工具，目的是為了「混入正常 IT 活動中」。對監控系統而言，看到管理員使用遠端桌面（RDP）或 RMM 工具是很正常的，這讓攻擊者能長期潛伏且不被發現。
此外，他們會利用 PsExec 等系統管理工具創建服務，或配置 Cloudflare Tunnel（cloudflared）建立隱蔽的外部通道，確保即使公司更改了防火牆規則，他們依然能隨時回連到受害環境。
權限提升的殺手鐧：BYOVD 攻擊
當攻擊者需要關閉防毒軟體（EDR/AV）時，單純的權限提升往往會觸發警報。因此，他們採用了 BYOVD（Bring Your Own Vulnerable Driver，自帶漏洞驅動程式）技術。
BYOVD 的原理是：攻擊者不嘗試去破解 Windows 的核心防禦，而是將一個「具有合法數位簽章但含有已知漏洞」的第三方驅動程式安裝到系統中。由於驅動程式運行在內核層級（Kernel Level），攻擊者可以利用該驅動的漏洞直接在內核中執行指令。
例如 The Gentlemen 集團利用了 Kontron 的 ktapi.sys 驅動程式。透過這個漏洞，他們能直接從內核層級強制終止 Microsoft Defender、SentinelOne 或 Palo Alto Networks 等安全產品的保護進程。這種攻擊方式讓即使是最新的 Windows 版本也難以完全防禦，因為漏洞出在第三方驅動而非作業系統本身。
勒索策略的演進：數據抹除與供應鏈協作
現代勒索軟體不再僅僅是加密檔案，而是演變成一種工業化的運作模式。
首先是增加心理壓力。Anubis 引入了 WIPEMODE（抹除模式），在加密前或過程中將檔案大小直接歸零（0 KB）。這種毀滅性的手段告訴受害者：如果你不付錢，資料將永遠無法恢復，即使你之後想付錢也沒用。
其次是供應鏈協作。我們看到 VECT 與 TeamPCP 等組織建立夥伴關係。其中 TeamPCP 專精於供應鏈攻擊（Supply Chain Attack），透過污染第三方軟體套件（如 Trivy 或 LiteLLM）來大規模盜取憑證，再將這些「敲門磚」交給 VECT 部署勒索軟體。這種分工模式極大地降低了犯罪門檻，讓攻擊能像工業流水線一樣快速擴張。
工程實務建議
面對這類複雜攻擊，單靠更新補丁是不夠的。建議採取以下防禦策略：
強化身份驗證。由於憑證盜用極其普遍，必須全面強制執行多因素驗證（MFA），尤其是 VPN 與遠端存取入口。
監控 RMM 與管理工具。建立清單，僅允許公司核准的 RMM 工具運行。任何未經授權的遠端管理軟體安裝應視為高風險入侵訊號。
限制驅動程式載入。針對 BYOVD 攻擊，建議開啟 Windows 的「內核隔離」與「記憶體完整性」功能，並盡量限制非必要第三方驅動的安裝權限。
假設已被入侵（Assume Breach）。意識到防毒軟體可能會被 BYOVD 關閉，因此更應重視離線備份與網路分段（Network Segmentation），防止攻擊者在內網中輕易橫向移動。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。