勒索软件的"铁三角"：当攻击者开始用你家管理工具打你
漏洞分析
IT 部门天天用的 TeamViewer、AnyDesk、SimpleHelp，现在成了勒索软件团伙最趁手的横向移动工具。他们不再砸玻璃翻窗——BYOVD 在内核层拔掉你的 EDR，FortiBleed 从 43 万台防火墙批量收割凭证，然后穿着"物业制服"走正门、逛内网、一键推勒索。这篇文章拆了 Arctic Wolf 今年 7 月刚公布的 Anubis 完整攻击链，六步看完你会发现：最危险的攻击，全踩在你的白名单里。
前言 -- 我最近一直在追 Arctic Wolf 和 SOCRadar 今年 7 月刚发的几份威胁报告，说实话，看完之后有个非常直观的感受——2026 年的勒索软件攻击跟两年前已经不是同一个物种了。 过去大家理解的勒索软件攻击，基本套路是：钓鱼邮件进来，跑个宏，下载个 loader，横向移动，加密文件，留勒索信。整套流程虽然也猛，但每一步都有机会被安全产品抓到——邮件网关拦钓鱼，EDR 拦进程注入，网络检测拦 C2 通信。 但现在这套"标准流程"正在被三个新东西彻底打散重建。 第一个是 BYOVD，一句话概括：攻击者带了个"合法司机"进来，在内核层把你的 EDR 直接拔掉。第二个是供应链凭据窃取，不再靠钓鱼猜密码，而是直接从网络设备、VPN 网关、管理平台上批量收割凭证。第三个是 RMM 工具滥用，攻击者不再用 Cobalt Strike 或 Sliver 做横向移动，而是直接用你 IT 部门也在用的 TeamViewer、SuperOps、SimpleHelp。 这三个东西组合在一起，形成了一个我称之为"铁三角"的攻击范式： ```js [BYOVD 杀 EDR] → [供应链凭据进大门] → [RMM 工具走内网] ↓ ↓ ↓ 内核层拔牙 正门进 合法通道走 ``` 安全团队过去的所有检测模型——进程行为分析、网络流量异常检测、端点日志审计——在这套组合拳面前，坦率讲，基本都在裸奔。 这篇文章我想把这三个技术的底裤扒干净。不只是介绍概念，而是拿今年的真实案例——Anubis 勒索软件的完整攻击链、FortiBleed 的 43 万台防火墙沦陷、GentleKiller 的 400+ EDR 秒杀——来把这条新攻击路径从头到尾拆一遍。 - - - - - - 一、BYOVD：签了名的驱动力，比 0-day 还好用 --------------------------- 先说这个最让我震撼的。 BYOVD，全称 Bring Your Own Vulnerable Driver，翻译过来就是"自带漏洞驱动"。听着好像很朴素，但老实说，这玩意现在是勒索软件攻击链里最脏的一张牌。 ### 它到底是怎么玩的 Windows 有个设计上的先天矛盾：内核驱动必须经过微软签名才能加载，这是安全机制。但签了名的驱动一旦加载到内核，就拥有 Ring 0 权限，可以干任何事——读任意内存、写任意内存、终止任意进程、禁用内核回调。 攻击者要的就是后面这个"可以干任何事"。 具体操作分三步： 一、搞到一个有已知漏洞的、但签了名的合法驱动。比如某个三年前的主板工具驱动、某个停更了的 GPU 超频驱动、某个医疗器械的通信驱动。这些驱动的签名至今有效，微软还没把它们加入黑名单。 二、把这个驱动文件丢到目标机器的 `C:\Windows\System32\drivers\` 目录下，然后用 `sc create` 或 NtLoadDriver 把它加载起来。因为驱动是合法签名的，Windows 不会拦。 三、加载成功后，攻击者通过驱动的 IOCTL 接口发恶意命令。驱动自己的代码里有漏洞——比如没检查输入缓冲区大小、没验证调用者权限——攻击者利用这些漏洞让驱动代劳内核操作，包括但不限于：调用 `ZwTerminateProcess` 终止 EDR 进程、清除内核回调表让 EDR 失明、映射物理内存直接读写整个机器的内存空间。 翻译一下就是：你拿微软的签名机制当护身符，进到内核以后用驱动的漏洞当跳板，然后想干嘛干嘛。 这里有个细节值得展开：IOCTL 是驱动程序与用户态通信的标准通道。正常情况下，应用通过 `DeviceIoControl` 向驱动发送控制码，驱动在 `IRP_MJ_DEVICE_CONTROL` 分发例程中处理。有漏洞的驱动之所以能被利用，是因为它在处理 IOCTL 时不做调用者权限校验——任何人只要打开了设备句柄，就能发送任意控制码。而很多硬件厂商为了方便，把驱动设备对象的 DACL 设为"所有人可读写"。这就意味着攻击者不需要提权到 SYSTEM，只要有一个普通的管理员权限，就能通过 IOCTL 让内核驱动代劳它正常功能之外的操作——比如把 `ZwTerminateProcess` 当成一个合法的 IOCTL 功能来调用。 ### 2026 年的 BYOVD，已经"白菜化"了 今年 3 月的一份统计显示，调查范围内的勒索软件家族里，有 54 个在使用 BYOVD 技术，被滥用的有漏洞驱动共计 35 个不同版本。这个数字在 2024 年还是个位数。 RaaS（勒索软件即服务）平台上，BYOVD 能力已经从"高级套餐加购项"变成了"基础套餐标配"。你自己不用操心去逆向哪个驱动、怎么写 exploit——RaaS 运营方把驱动文件和配套的加载器打包好了，你给钱就能用。 今年最出圈的两个案例： **Reynolds 勒索软件（2026 年 2 月）**——BYOVD 组件直接嵌入在勒索软件 payload 内部。不是"先加载驱动再下载勒索软件"的两段式，就是一个文件，执行后自动完成：提取驱动 → 创建服务 → 加载到内核 → 利用 IOCTL 漏洞终止 EDR → 加密文件。一条龙。 **GentleKiller（2026 年 6 月）**——这个更狠。它利用的 BYOVD 驱动一次性扫描并强杀 400 多个安全相关进程。不是 4 个，不是 40 个，是 400 多个。包括 Windows Defender、CrowdStrike Falcon、SentinelOne、Carbon Black、Trend Micro、Kaspersky 等等，市面上你能叫出名字的 EDR/AV，基本都在它的"死亡名单"里。 GentleKiller 的逻辑特别粗暴：它不关心你具体装了什么安全软件，也不做针对性绕过——它直接维护了一份"所有已知安全产品进程名"的巨型列表，加载驱动后逐个强杀。不管杀没杀对，反正先把整个安全软件的生态清空再说。 ### 那些"被武器化"的驱动们 GitHub 上有个项目叫 BlackSnufkin/BYOVD，830 多颗星，里面整理了目前公开的所有可利用驱动漏洞的 PoC 代码。我翻了翻，被收录的包括： - CVE-2025-52915：某硬件诊断工具的内核驱动，IOCTL 接口允许任意物理内存读写 - CVE-2025-1055：某系统优化工具驱动，可调用 ZwTerminateProcess 终止任意进程 - CVE-2026-3609：某主板厂商的老驱动，允许任意内核内存写入 - CVE-2026-8501：又一个硬件工具驱动，允许禁用内核回调 - BioNTdrv.sys：Paragon 出品的驱动，微软自己都确认其中存在多个严重漏洞 这些驱动有一个共同的尴尬：它们都是正经公司发布的、有微软数字签名的正规驱动。只是发布它们的公司有的已经倒闭，有的产品已经停更五六年，有的甚至不知道自己 2019 年发的某个版本里有个后来被证明可以任意内核读写的 bug。 更深层的问题是：微软的易受攻击驱动黑名单（Vulnerable Driver Blocklist）更新远跟不上攻击者的收集速度。Windows Defender Application Control（WDAC）可以配置阻止列表，但这份列表需要持续维护，而且默认不开启。 **说白了：BYOVD 不需要 0-day。它用的全是 N-day，甚至有些驱动漏洞公开超过三年了还能拿来打最新版 Windows。这是一个"签名体系的结构性漏洞"——驱动签名本来是为了安全，现在反而成了最危险的信任凭证。**  - - - - - - 二、供应链凭据窃取：不用破门，钥匙就在门口 --------------------- 搞定 EDR 只是让攻击者"不被抓"，但进大门这件事，同样不需要暴力破解。 过去一两年，勒索软件团伙在初始访问方面的策略发生了根本性变化：从"找漏洞、打漏洞"转向了"收集凭据、直接登录"。 这个过程不靠 0-day，靠的是两件事：一是针对网络边界设备的已知漏洞大规模扫描和信息窃取，二是通过入侵第三方管理平台劫持远程管理通道。两者本质上都是从供应链的薄弱环节捞凭证。 ### Citrix Bleed 2：三年后，同一个坑又踩进去了 CVE-2025-5777，也叫 Citrix Bleed 2。CVSS 9.2 分。 我之所以对这个洞特别有感触，是因为它的前身 CVE-2023-4966——也就是原始的 Citrix Bleed——在 2023 年被大规模利用的惨状还历历在目。当时 Clop 勒索软件团伙利用它搞出了 MOVEit 之后最大规模的数据勒索事件。 两年过去了，同一个设备类型（Citrix NetScaler ADC/Gateway），同一类漏洞（越界内存读取），同一个后果（会话令牌泄露，MFA 直接失效）。 技术细节其实不复杂：NetScaler 在处理某些特定 HTTP 请求时，输入验证不足导致了越界内存读取。攻击者的请求触发设备从内存中返回超出预期范围的数据，而这些数据里面就包含了之前认证用户的会话令牌。拿到这个令牌之后，攻击者不需要用户名密码，也不需要过 MFA——直接以合法用户的身份登录。 Citrix 在 2025 年 6 月 17 日发了补丁。 七天之后，PoC 在网上公开。五个月后，watchTowr Labs 发布完整技术分析。2026 年 3 月，开始被大规模利用。 时间线非常标准：补丁 → PoC → 武器化 → 大规模扫描。但从补丁发布到开始被利用，间隔将近一年——这一年的时间里，有多少企业来得及打补丁？ Arctic Wolf 的调查发现，Anubis 勒索软件的附属机构把 CVE-2025-5777 当成了"初始访问工具箱"的核心组件。不只是 Anubis，还有其他多个未具名的勒索软件团伙也在用同一个洞。 **讲真，Citrix Bleed 2 真正的警示不是这个漏洞本身有多精巧，而是"网络边界设备"这个品类，已经成为整个企业安全体系中最薄弱的单点——一个边界设备的越界读取，就能绕过所有投入了几百万建设的内网防护。** ### FortiBleed：43 万台防火墙的"集体沦陷" 如果 Citrix Bleed 2 是撬开一扇门，那 FortiBleed 就是打开了一整条街的门。 FortiBleed 不是一个漏洞，而是一个大规模凭证收集行动。安全研究员 Volodymyr "Bob" Diachenko 上个月发现了暴露的 FortiGate 防火墙配置，然后事情就越挖越大： - 全球超过 **430,000 台** FortiGate 防火墙被确认遭到入侵 - 来自 73,000 多台设备的完整配置文件被暴露在互联网上 - 据关联分析，**超过 1.1 亿条凭证**与此次行动有关 攻击者在这 43 万台防火墙上部署了一个叫"FortiGate Sniffer"的自制工具。这玩意干什么的？很简单，就一件事——在防火墙上抓网络流量，从中提取 VPN 凭证和认证数据。 听起来很朴素，但你想一下：这 43 万台防火墙不是企业的边缘设备，而是**企业的网络大门**。所有远程员工的 VPN 流量、所有分支机构与总部的加密隧道、所有合作伙伴的专线接入，都要经过这些防火墙。攻击者在防火墙上插了一个抓包工具，等于在所有流量的入口处放了一个窃听器。 Huntress 做了一次关联分析，发现在他们监控的范围内，有 845 家合作伙伴组织出现在了受影响名单中。注意这个数字——仅仅是一个安全厂商的客户群就有 845 家。全貌有多恐怖，自己想象。 SOCRadar 的威胁研究团队（STRU）发现了这次行动中一个特别关键的细节：一名操作员的登录会话可以同时追溯到 **INC Ransom** 和 **Lynx** 两个勒索软件的谈判面板，而这个操作员的访问路径溯源回去，正是 FortiBleed 的基础设施。 这意味着什么？ 意味着 FortiBleed 不是"某个人偷了凭证然后卖了"。它是一套完整的供应链：初始访问代理（Initial Access Broker）大规模收集凭证 → 整理分类 → 卖给不同的勒索软件团伙。INC Ransom 和 Lynx 只是两个买了"流量"的客户，背后可能还有更多团伙在排队。 SOCRadar 的报告标题直接就说：FortiBleed 应该从"大规模凭证盗窃事件"重新定性为"**勒索软件赋能行动**"。 **说白了：43 万台防火墙不是目的——它们是通往 43 万个企业内网的钥匙。而所有这些钥匙，正在被明码标价卖给勒索软件团伙。** ### SimpleHelp：当管理工具本身被管理 还有一个更隐蔽的维度，就是管理工具本身的供应链劫持。 SimpleHelp 是一个企业级的远程支持平台。很多 IT 外包公司和 MSP（托管服务提供商）用它来管理客户网络里的成千上万台机器。从设计上来说，SimpleHelp 的管理服务器控制着所有部署在客户端的 RMM 代理。 攻击者的手法出奇的简单：先拿到 SimpleHelp 管理服务器的访问权限（怎么拿到的？可能是前面说的 Citrix Bleed 2，也可能是 FortiBleed 偷来的凭证，也可能只是管理服务器放在了公网且密码没改），然后修改服务器上的配置文件，把所有 SimpleHelp RMM 代理的指向地址改成自己控制的服务器。 改完之后会怎样？ 那些已经部署在客户机器上的 RMM 代理，它们本来该向正规的管理服务器报到，但现在它们全部向攻击者的服务器报到了。攻击者什么都不用装，就已经拥有了对所有客户端机器的远程管理权限——包括远程桌面、文件传输、命令执行、注册表编辑。 而且整个过程，客户端的操作员和用户完全不知道。代理还是那个代理，连接状态显示正常，只是背后的操控者换人了。 **不夸张地说，SimpleHelp 这种攻击比直接打漏洞恐怖得多。漏洞可以打补丁，但这种"合法通道的合法劫持"，你连告警都收不到——攻击者用的就是你授权安装的管理工具本身。**  - - - - - - 三、RMM 工具滥用：穿着白大褂做坏事 ------------------- 进大门的问题解决了，那内网怎么走？ 传统勒索软件的横向移动靠的是 C2 框架——Cobalt Strike、Sliver、Mythic、Havoc。这些框架虽然功能强大，但有一个致命的"缺点"：它们的网络指纹太明显了。任何上规模的 SOC 都有关于这些框架的检测规则，流量特征、进程特征、内存特征，全是已知的。 2025-2026 的勒索软件团伙想通了一件事：为什么非要费劲绕检测，而不是直接用不会被检测的东西？ ### 277% 的激增不是巧合 数据来自多家威胁情报厂商的综合统计：2025 年 RMM（远程管理工具）在网络攻击中的滥用相比前一年激增了 277%。超过 60% 的勒索软件事件涉及至少一种 RMM 工具的滥用。 这里的 RMM 工具，指的就是企业 IT 部门用来远程管理电脑的那种工具： - **TeamViewer**：全世界最知名的远程桌面工具，无数企业在用 - **SuperOps**：新一代的 RMM 平台，主打 MSP 市场 - **SimpleHelp**：就是我前面说的那个，管理服务器被整站劫持 - **Cloudflared**：Cloudflare 的隧道工具，能把内网服务暴露到公网，流量走的是 Cloudflare 的合法 IP - **AnyDesk**：TeamViewer 的竞品，同样被广泛使用 这些工具的共同特征：它们本身是安全的、合法的、签名过的、被企业白名单允许的。安全产品不会拦截 TeamViewer 的连接，因为 IT 部门每天都在用。也不应该拦截，因为 IT 部门真的每天都在用。 攻击者利用的就是"不应该拦截"这个真空地带。 ### LOTL 的终极形态 安全圈讲 Living-off-the-Land（LOTL）讲了快十年了。早期的 LOTL 指的是用 PowerShell、WMI、PsExec 这些 Windows 自带工具。后来升级成了用系统自带的管理工具。 但 RMM 滥用把 LOTL 推到了一个全新的层次。 PowerShell 还有脚本日志可以审，WMI 也有事件日志可以查，PsExec 至少在进程链上能看到。但 RMM 工具的所有操作——文件传输、命令执行、注册表修改——全部封装在 RMM 自己的加密通道里。端点上的日志只有一条："TeamViewer 建立连接"。 就这一条。 具体在这个加密通道里面干了什么，端点的 EDR 看不到。网络层的流量分析看到的也是合法的 TeamViewer 协议流量。SOC 分析员看到告警也只会当它是正常运维（当然是被 BYOVD 先把 EDR 处理掉后）。 今年被监控到的典型操作序列是这样的： 一、攻击者通过偷来的凭证或 Citrix Bleed 2 拿到了初始访问的一台机器 二、在那台机器上安装 TeamViewer 或 SuperOps 的 agent 三、通过 RMM 控制台扫描内网，识别域控制器、文件服务器、备份服务器 四、利用 RMM 的文件传输功能把信息窃取器和勒索软件 payload 分发到关键机器上 五、通过 RMM 的远程 Shell 执行命令，包括： - `vssadmin delete shadows /all /quiet`——删掉 Windows 卷影副本 - `wbadmin delete backup`——删掉 Windows 备份 - `bcdedit /set {default} recoveryenabled No`——禁用系统恢复 - 禁用所有计划的备份任务 六、通过 RMM 的脚本推送功能一次性向数千个端点投放勒索软件 全过程没有用到一个"恶意"工具。全是企业自己买了授权、部署了、配置了白名单的正规软件。 **说白了：RMM 滥用的可怕之处不在于它用了什么先进技术，而在于它什么都没用——它就用了你 IT 部门每天用的东西。就好像小偷不是撬锁进来，而是穿了一件物业制服。**  - - - - - - 四、铁三角协同：拆解一条真实的攻击链 ------------------ 孤立地看 BYOVD、供应链凭据窃取和 RMM 滥用，每一项都是一个"可以发一篇 CVE 文章"级别的话题。但把它们拼在一起，才能看到 2026 年勒索软件攻击的真正战斗力。 我拿 Arctic Wolf 完整调查的一起 Anubis 勒索软件攻击事件来当样本，一步一步拆。 ### 第一步：初始访问——正门进 攻击者同时使用了两种初始访问方式： 一种是扫描公网上未打补丁的 Citrix NetScaler 设备，发送特制 HTTP 请求触发 CVE-2025-5777 越界读取，从响应中提取泄露的会话令牌。拿到令牌后直接以已认证用户身份登录 VPN。 另一种是直接使用从 FortiBleed 等凭证收集中获取的 VPN 账号密码。买了"流量"后直接登录。 两种方式殊途同归：不需要砸玻璃，也不用爬窗，拿钥匙开正门。 ### 第二步：建立立足点——披上隐身衣 登录 VPN 之后，攻击者做的第一件事不是扫描内网，也不是提权——而是先铺隐蔽通道。 他们在入口机器上部署了 Cloudflared，建立了一条通过 Cloudflare 网络的加密隧道。这意味着：后续所有的 C2 通信，在 SOC 的网络监测看来，都是流向 Cloudflare 合法 IP 的正常 HTTPS 流量。 安装 TeamViewer 或 SuperOps RMM agent。因为入口机器本身是企业的办公终端或跳板机，安装远程管理工具属于"合理操作"。 ### 第三步：横向移动——走"员工通道" 有了 RMM 的远程控制权限后，攻击者开始摸内网： - 通过 RMM 的文件浏览器查看共享文件夹 - 通过 RMM 的远程 Shell 跑 `net view` 和 `nltest` 收集域信息 - 用 RDP 跳到其他机器（因为用的是偷来的 VPN 凭证，RDP 认证直接通过） - 用 PsExec 在远程机器上执行命令（同样是合法工具） 整个过程没有生成任何 Cobalt Strike 的 beacon 特征，没有 Meterpreter 的流量指纹，也没有任何已知恶意工具的消息特征。 ### 第四步：摧毁防御——内核级秒杀 在确定内网中高价值目标（域控制器、文件服务器、备份服务器）的位置后，下一步不是立刻加密，而是先把所有可能阻碍加密的东西清掉。 这里就是 BYOVD 登场的位置。 攻击者把带有已知漏洞的合法签名驱动（具体哪一款 Arctic Wolf 没有披露）丢到目标机器上，创建 Windows 服务加载驱动。驱动进入内核后，通过暴露的 IOCTL 接口： - 调用 `ZwTerminateProcess` 终止所有 EDR/AV 进程 - 清除 PsSetCreateProcessNotifyRoutine 注册的内核回调——EDR 用来监控进程创建的核心机制 - 在某些案例中，甚至直接获取物理内存的读写权限 EDR 静默死亡。不是崩溃，不是报错，就是突然没了。进程列表里可能还显示它在运行，但内核回调已被清除，进程创建事件不再被捕获，文件操作不再被拦截。安全团队看到的仪表盘上，一切正常——只是不再有新的告警生成了。 ### 第五步：勒索部署——工业化灌装 防御被摧毁后，攻击者利用 RMM 的批量脚本推送功能： 一、封禁备份：在所有目标机器上并行执行 `vssadmin delete shadows`、`wbadmin delete backup`、禁用备份计划任务 二、投递信息窃取器：先跑一次数据外传，把文件服务器上的敏感文件通过 Cloudflared 隧道传出去。这是"双重勒索"的数据基础——你不付赎金，不光文件解密不了，数据还会被公开 三、推送勒索软件：通过 RMM 脚本一次性向域内所有可达端点推送加密程序。Anubis 勒索软件本身是 Go 写的，跨平台编译，Windows 和 Linux 服务器都能打 四、留勒索信：在每台被加密机器的桌面和共享目录投放勒索信 ### 第六步：持久化——永不消失的通道 加密完成不代表攻击结束。RMM agent 继续留在被加密的机器上。即使受害者通过备份恢复了一部分机器，只要 RMM agent 还在，攻击者随时可以重新连接、重新加密。 Arctic Wolf 在现场响应中发现，有些受害组织在第一次加密后恢复了 30% 的机器，但三天后同一个攻击者通过同一套 RMM 通道又回来了，把恢复的机器重新加密了一遍。 **说实话：这个攻击链真正让我觉得恐怖的地方不是哪一步特别厉害，而是每一步都踩在了企业安全体系的"合法盲区"上。攻击者全程没有用自研的恶意软件做关键操作——破坏防御用的是合法驱动，进大门用的是偷来的凭证，走内网用的是 IT 部门授权的管理工具。**  - - - - - - 五、"铁三角"防御：不是从零开始，但要做对选择 ----------------------- 面对这种级别的攻击范式变化，不瞒你说，传统的"买更多安全产品"的思路已经不太够用了。不是产品不好，而是攻击者现在走的全是合法通道——你的产品根本看不到他。 但也不是完全绝望。Arctic Wolf 在报告里给了一些方向，结合我自己的理解，我觉得至少这几件事可以做： ### 把微软的易受攻击驱动黑名单打开 Windows Defender Application Control 自带一份 Vulnerable Driver Blocklist。这份列表由微软维护，定期更新已知被 BYOVD 利用的有漏洞驱动。但它不是默认开启的。 开了之后，任何在黑名单中的驱动（即使有合法签名）都无法加载。这不能防止 0-day 级别的 BYOVD，但对付目前 90% 以上的已知 BYOVD 攻击足够了。 配合 Hypervisor-Protected Code Integrity（HVCI，也叫 Memory Integrity）开启，可以防止内核内存被任意修改。 ### 把所有网络边界设备纳入 Patch Management 最高优先级 Citrix Bleed 2 和 FortiBleed 说明了一件事：网络边界设备（防火墙、VPN 网关、ADC、负载均衡）是整个企业安全体系里最被低估的攻击面。 这些设备不像服务器和终端那样有 EDR agent，也不像 SaaS 应用那样可以单点登录加 MFA 解决。它们暴露在公网上，运行着厂商定制的操作系统，补丁周期比 Windows 和 Linux 长得多（Citrix NetScaler 的企业级补丁部署周期平均是 3-6 个月）。 CVE-2025-5777 从补丁发布到大面积被利用用了将近一年——这说明如果企业把边界设备的补丁优先级提到最高，完全可以在攻击发生之前把漏洞修掉。 ### 监控 RMM 工具的使用基线 RMM 工具不能被一刀切地禁用——因为 IT 部门真的需要用。但可以为 RMM 建立行为基线： - 正常情况下，RMM 连接应该从哪里发起？（IT 部门办公室的固定 IP） - 正常运维发生在什么时间段？（工作日的 9:00 到 18:00） - 正常一次 RMM 会话会执行什么操作？（安装软件、排查故障，而不是跑 `vssadmin delete shadows`） 任何偏离这个基线的 RMM 使用行为——周六凌晨 3 点从东欧 IP 连进来的 TeamViewer 会话、RMM 首次连接就在执行 `vssadmin`——都应该作为高优先级告警升级处理。 有些 SIEM 平台已经支持对 RMM 工具的日志做专门分析，把 RMM 行为从"正常 IT 运维"这个默认假设里单独拉出来。 ### 凭证卫生——最老套但最有用 FortiBleed 的 1.1 亿条凭证里，有多少是两年没换过的 VPN 密码？有多少是防火墙出厂默认的 admin/admin？有多少是"一个密码打通关"——同一个密码既是 VPN 密码又是域账号密码又是堡垒机密码？ 按时轮换 VPN 和设备管理密码、禁用默认凭证、不同系统不同密码——这些说了二十年的东西，讲真，能落实的企业依然是少数。 但面对今天这种"大规模凭证收集 + 自动化利用"的攻击模式，这些老套的措施确实是最有效的第一道防线。 ### 在 EDR 之外构建设备完整性验证 BYOVD 能起作用的前提是：攻击者已经有管理员权限。如果 EDR 是唯一在监控系统底层变化的工具，那 BYOVD 确实可以先把 EDR 干掉。 但如果在 EDR 之外还有一套独立的设备完整性验证——比如通过 TPM 2.0 的远程证明、通过 Windows Secure Boot 日志的上报——那么即使 EDR 被 BYOVD 干掉了，SIEM 或 SOC 平台仍然能从独立的日志管道里看到"刚才加载了一个不在白名单里的内核驱动"。 这层东西不需要很贵——很多端点管理平台都自带，只是大部分企业没配置。 另一个我比较看好的思路是：把驱动加载事件和进程终止事件拉到 SIEM 里做关联。正常情况下，一个 IT 管理员不会在"刚加载了一个 2019 年发布的主板工具驱动"之后，紧接着"EDR 进程被终止"。这两个事件的时序关系本身就是最强告警信号。不依赖驱动签名验证，也不依赖行为特征匹配，纯粹靠异常时序关联就可以抓到 BYOVD 的尾巴。 **说白了："铁三角"的每一项都在利用"正常"与"恶意"之间的灰色地带。防御的核心不是识别恶意，而是定义什么是正常——然后标记所有偏离正常的操作。** - - - - - - 写在最后 ---- 我写这篇文章的过程中一直在想一件事： 两年前，做勒索软件防御的基本思路是"把攻击者的工具识别出来"——Cobalt Strike 的流量特征、Mimikatz 的内存特征、勒索软件的文件行为特征。这些检测模型建立在"攻击者会用恶意工具"的前提上。 但现在这个前提不成立了。 BYOVD 用的是合法签名的驱动，RMM 滥用用的是企业授权的管理软件，供应链凭据窃取用的是 VPN 网关的合法会话。攻击者全程没有用一个"恶意"工具，每一步都踩在"合法"的区域内。 这就好像一个楼里的保安体系，过去是靠辨认"坏人长什么样"来拦人。结果坏人现在穿了一身物业制服，拿了一把真钥匙，走的全是员工通道。保安盯着监控看了一整天，一个坏人没发现——因为所有行为都是"授权"的。 勒索软件的"铁三角"就是这套物业制服。它不会让攻击变得更炫技，但会让所有基于"识别坏人"的防御模型失效。 这也是我觉得今年值得花时间深入写这个选题的原因。 **不瞒你说，当一个攻击者比你更了解你的 IT 管理工具的时候，你需要的不是更好的检测，而是一个从"定义正常"出发的全新视角。**
发表于 2026-08-04 09:30:12
阅读 ( 1360 )
分类：
漏洞分析
2 推荐
收藏
0 条评论
zee
4 篇文章
×
温馨提示
您当前没有「奇安信攻防社区」的账号，注册后可获取更多的使用权限。
×
温馨提示
您当前没有「奇安信攻防社区」的账号，注册后可获取更多的使用权限。
×
举报此文章
垃圾广告信息：
广告、推广、测试等内容
违规内容：
色情、暴力、血腥、敏感信息等内容
不友善内容：
人身攻击、挑衅辱骂、恶意行为
其他原因：
请补充说明
举报原因:
×
如果觉得我的文章对您有用，请随意打赏。你的支持将鼓励我继续创作！
