這篇文章將分析由名為 SilverFox 的駭客組織針對日本製造業發起的攻擊行動。這次攻擊不僅展示了高度的模組化設計，更揭露了攻擊者如何利用 Windows 核心驅動程式來繞過現代安全防禦。對於開發者或初級資安工程師來說，理解這套攻擊鏈能幫助我們意識到，單純依賴防毒軟體（EDR/AV）在面對核心層級攻擊時的侷限性。
攻擊鏈的起點與進入方式
攻擊始於典型的社交工程，駭客發送以發票為主題的釣魚郵件，引導受害者下載一個 ZIP 壓縮檔。這個壓縮檔內含一個下載器，它會從騰訊雲（Tencent Cloud）等合法雲端服務獲取後續組件。
這裡使用了 DLL Sideloading（DLL 側載）技術。簡單來說，攻擊者利用一個合法的執行檔（例如 ConvertToPDF.exe），讓它在啟動時載入一個惡意的 DLL 檔（PDFCORE8.dll）。因為執行檔本身是合法的且具有數位簽章，安全軟體往往會信任它，從而讓惡意代碼在不引起懷疑的情況下執行。
BYOVD：將漏洞驅動程式帶入系統
這次攻擊的核心在於 BYOVD（Bring Your Own Vulnerable Driver），意即「攜帶自有漏洞驅動程式」。這是目前高階威脅中最危險的技術之一。
在 Windows 中，核心模式（Kernel Mode）擁有最高權限，可以控制硬體與記憶體。由於核心層級被嚴格保護，惡意程式很難直接進入。然而，許多合法的硬體驅動程式（例如本文提到的 BootRepair.sys 或 EnPortv.sys）雖然經過微軟認證，但內部存在漏洞。
攻擊者將這些含有漏洞的合法驅動程式安裝到受害機器上，然後利用這些漏洞獲取核心權限。一旦進入核心模式，攻擊者就可以直接關閉或癱瘓運行在使用者模式（User Mode）的安全軟體，讓後續的動作完全隱形。SilverFox 這次採取了模組化策略，一次準備三個不同的驅動程式，只要其中一個能成功運作，就能確保攻擊持續進行。
繞過偵測與權限提升
除了 BYOVD，攻擊者還使用了 NTDLL Unhooking 技術。許多端點偵測與回應（EDR）工具會透過在 NTDLL.dll 中設置 Hook（鉤子）來監控 API 呼叫，一旦發現可疑行為就會報警。攻擊者透過重新載入乾淨的 NTDLL 副本，直接移除這些鉤子，讓 EDR 變成瞎子。
隨後，攻擊者利用 Thread Context Hijacking（執行緒上下文劫持）將 Shellcode 注入到合法的 svchost.exe 進程中，最終部署 ValleyRAT（一種遠端存取木馬，基於 Gh0st RAT 修改）。這讓攻擊者能遠端控制電腦、執行指令並竊取資料。
雙重看門狗：極高韌性的持久化設計
為了防止被資安人員發現並刪除，SilverFox 設計了一套雙重看門狗（Dual Watchdog）恢復機制，形成互補的循環：
第一層：內部監控。載入器會持續監控注入的木馬 payload。如果木馬被殺掉，載入器會立即重新創建它。 第二層：外部腳本。一個透過排程工作運行的批次腳本會監控載入器。如果載入器被刪除，腳本會重新啟動載入器。
這種設計意味著，除非防禦者能同時切斷這兩個環節，否則惡意程式會不斷自我修復。
總結與實務啟示
這次攻擊展示了現代威脅對模組化的追求。攻擊者不再依賴單一漏洞，而是建立一套插件式的框架：驅動程式可以隨時更換、恢復機制相互依賴、注入路徑多樣化。
對於工程師而言，這提醒我們： 數位簽章不代表安全：即使是經過認證的驅動程式也可能被用作攻擊工具。 權限分層的重要性：核心層級的崩潰意味著所有使用者層級的防禦都失效。 偵測需多維度：不能僅依賴 API 監控（Hooking），還需要關注異常的驅動程式載入與排程工作變動。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。