ZONE.CI 全球网

DragonForce勒索软件团伙通过微软Teams中继服务器隐蔽传输C2流量，潜伏长达两月未被发现。其定制后门Backdoor.Turn滥用合法TURN基础设施，采用Go语言开发并注入dbgview64.exe进程，结合BYOVD技术利用华为等存在漏洞的签名驱动进行规避，展现高超攻击技巧。该团伙已从勒索即服务转型为犯罪联盟，具备持续威胁能力。

ESET披露勒索软件组织TheGentlemen使用EDR清除工具套件GentleKiller，该工具通过BYOVD技术滥用漏洞驱动程序在攻击前禁用终端安全产品。该团伙已攻击504个受害者，其工具包含8个变种可针对400多个安全进程，并能快速将公开POC武器化以降低攻击门槛。防御者可利用公开的进程目标列表设计监控策略。

勒索软件团伙Anubis利用CitrixBleed2漏洞和合法RMM工具获取初始访问权限，通过凭证窃取、横向移动和数据窃取实施攻击，主要影响医疗、制造等行业。TheGentlemen组织使用BYOVD技术绕过防御。Vect与TeamPCP合作，通过供应链凭证窃取结合勒索软件部署，形成工业化犯罪模式。建议修补漏洞、监控RMM滥用并加强凭证保护。

本文深入探讨内核级攻击技术，指出用户态免杀无法绕过EDR的内核信号源，如进程回调与ETW-TI。主流进入内核途径为BYOVD，利用已签名漏洞驱动获取内核读写原语，进而关闭EDR回调、操作内核数据结构。文章详述了漏洞驱动实例、原语构建、PatchGuard规避及完整免杀链，强调内核攻击的高收益与高风险，为红队实战提供深度技术参考。

DragonForce勒索软件团伙通过微软Teams中继服务器隐蔽传输C2流量，潜伏长达两月未被发现。其定制后门Backdoor.Turn滥用合法TURN基础设施，采用Go语言开发并注入dbgview64.exe进程，结合BYOVD技术利用华为等存在漏洞的签名驱动进行规避，展现高超攻击技巧。该团伙已从勒索即服务转型为犯罪联盟，具备持续威胁能力。

勒索软件团伙Anubis利用CitrixBleed2漏洞和合法RMM工具获取初始访问权限，通过凭证窃取、横向移动和数据窃取实施攻击，主要影响医疗、制造等行业。TheGentlemen组织使用BYOVD技术绕过防御。Vect与TeamPCP合作，通过供应链凭证窃取结合勒索软件部署，形成工业化犯罪模式。建议修补漏洞、监控RMM滥用并加强凭证保护。

本文深入探讨内核级攻击技术，指出用户态免杀无法绕过EDR的内核信号源，如进程回调与ETW-TI。主流进入内核途径为BYOVD，利用已签名漏洞驱动获取内核读写原语，进而关闭EDR回调、操作内核数据结构。文章详述了漏洞驱动实例、原语构建、PatchGuard规避及完整免杀链，强调内核攻击的高收益与高风险，为红队实战提供深度技术参考。

本文深度复盘TheGentlemen勒索软件组织的BYOVD免杀与蠕虫化传播机制，揭示其通过利用边缘设备漏洞（如CVE-2024-55591等）进行初始访问，在内网潜伏2-6周并使用BYOVD技术加载合法签名驱动以终止EDR进程，最终通过Go语言编写的深度混淆（garble）勒索主体结合X25519与XChaCha20混合加密算法，并支持–spread参数实现蠕虫化横向传播的攻击链路，为防御者提供加固域控、及时修补边缘设备及监控内核驱动等可操作建议。

DragonForce勒索软件团伙通过微软Teams中继服务器隐蔽传输C2流量，潜伏长达两月未被发现。其定制后门Backdoor.Turn滥用合法TURN基础设施，采用Go语言开发并注入dbgview64.exe进程，结合BYOVD技术利用华为等存在漏洞的签名驱动进行规避，展现高超攻击技巧。该团伙已从勒索即服务转型为犯罪联盟，具备持续威胁能力。

ESET披露勒索软件组织TheGentlemen使用EDR清除工具套件GentleKiller，该工具通过BYOVD技术滥用漏洞驱动程序在攻击前禁用终端安全产品。该团伙已攻击504个受害者，其工具包含8个变种可针对400多个安全进程，并能快速将公开POC武器化以降低攻击门槛。防御者可利用公开的进程目标列表设计监控策略。

勒索软件团伙Anubis利用CitrixBleed2漏洞和合法RMM工具获取初始访问权限，通过凭证窃取、横向移动和数据窃取实施攻击，主要影响医疗、制造等行业。TheGentlemen组织使用BYOVD技术绕过防御。Vect与TeamPCP合作，通过供应链凭证窃取结合勒索软件部署，形成工业化犯罪模式。建议修补漏洞、监控RMM滥用并加强凭证保护。

本文深入探讨内核级攻击技术，指出用户态免杀无法绕过EDR的内核信号源，如进程回调与ETW-TI。主流进入内核途径为BYOVD，利用已签名漏洞驱动获取内核读写原语，进而关闭EDR回调、操作内核数据结构。文章详述了漏洞驱动实例、原语构建、PatchGuard规避及完整免杀链，强调内核攻击的高收益与高风险，为红队实战提供深度技术参考。

本文深度复盘TheGentlemen勒索软件组织的BYOVD免杀与蠕虫化传播机制，揭示其通过利用边缘设备漏洞（如CVE-2024-55591等）进行初始访问，在内网潜伏2-6周并使用BYOVD技术加载合法签名驱动以终止EDR进程，最终通过Go语言编写的深度混淆（garble）勒索主体结合X25519与XChaCha20混合加密算法，并支持–spread参数实现蠕虫化横向传播的攻击链路，为防御者提供加固域控、及时修补边缘设备及监控内核驱动等可操作建议。

DragonForce勒索软件团伙通过微软Teams中继服务器隐蔽传输C2流量，潜伏长达两月未被发现。其定制后门Backdoor.Turn滥用合法TURN基础设施，采用Go语言开发并注入dbgview64.exe进程，结合BYOVD技术利用华为等存在漏洞的签名驱动进行规避，展现高超攻击技巧。该团伙已从勒索即服务转型为犯罪联盟，具备持续威胁能力。

ESET披露勒索软件组织TheGentlemen使用EDR清除工具套件GentleKiller，该工具通过BYOVD技术滥用漏洞驱动程序在攻击前禁用终端安全产品。该团伙已攻击504个受害者，其工具包含8个变种可针对400多个安全进程，并能快速将公开POC武器化以降低攻击门槛。防御者可利用公开的进程目标列表设计监控策略。

勒索软件团伙Anubis利用CitrixBleed2漏洞和合法RMM工具获取初始访问权限，通过凭证窃取、横向移动和数据窃取实施攻击，主要影响医疗、制造等行业。TheGentlemen组织使用BYOVD技术绕过防御。Vect与TeamPCP合作，通过供应链凭证窃取结合勒索软件部署，形成工业化犯罪模式。建议修补漏洞、监控RMM滥用并加强凭证保护。

本文深入探讨内核级攻击技术，指出用户态免杀无法绕过EDR的内核信号源，如进程回调与ETW-TI。主流进入内核途径为BYOVD，利用已签名漏洞驱动获取内核读写原语，进而关闭EDR回调、操作内核数据结构。文章详述了漏洞驱动实例、原语构建、PatchGuard规避及完整免杀链，强调内核攻击的高收益与高风险，为红队实战提供深度技术参考。

本文深入探讨内核级攻击技术，指出用户态免杀无法绕过EDR的内核信号源，如进程回调与ETW-TI。主流进入内核途径为BYOVD，利用已签名漏洞驱动获取内核读写原语，进而关闭EDR回调、操作内核数据结构。文章详述了漏洞驱动实例、原语构建、PatchGuard规避及完整免杀链，强调内核攻击的高收益与高风险，为红队实战提供深度技术参考。

勒索软件团伙Anubis利用CitrixBleed2漏洞和合法RMM工具获取初始访问权限，通过凭证窃取、横向移动和数据窃取实施攻击，主要影响医疗、制造等行业。TheGentlemen组织使用BYOVD技术绕过防御。Vect与TeamPCP合作，通过供应链凭证窃取结合勒索软件部署，形成工业化犯罪模式。建议修补漏洞、监控RMM滥用并加强凭证保护。

本文深入探讨内核级攻击技术，指出用户态免杀无法绕过EDR的内核信号源，如进程回调与ETW-TI。主流进入内核途径为BYOVD，利用已签名漏洞驱动获取内核读写原语，进而关闭EDR回调、操作内核数据结构。文章详述了漏洞驱动实例、原语构建、PatchGuard规避及完整免杀链，强调内核攻击的高收益与高风险，为红队实战提供深度技术参考。

本文深入探讨内核级攻击技术，指出用户态免杀无法绕过EDR的内核信号源，如进程回调与ETW-TI。主流进入内核途径为BYOVD，利用已签名漏洞驱动获取内核读写原语，进而关闭EDR回调、操作内核数据结构。文章详述了漏洞驱动实例、原语构建、PatchGuard规避及完整免杀链，强调内核攻击的高收益与高风险，为红队实战提供深度技术参考。

该文披露一起针对企业终端的钓鱼攻击活动，攻击者伪造LastPass安装包，利用携带微软合法签名的易受攻击驱动实施BYOVD攻击，在内核层静默终止EDR与杀毒软件进程，随后拉取CobaltStrike等后门实施内网渗透。文章详细拆解了BYOVD攻击链路，并给出启用易受攻击驱动阻止列表、部署WDAC应用控制策略及监控驱动加载事件等加固建议。

本文分析BYOVD（自带漏洞驱动）攻击技术，通过真实勒索应急案例展示攻击链六阶段：初始入侵、提权持久化、侦察EDR、利用签名漏洞驱动加载至内核并发送IOCTL终止EDR进程、擦除痕迹关闭防御、横向移动加密。复现使用HNOs2Ec.sys驱动绕过EDR进程守护，通过修改SCM服务FailureActions禁用自动重启实现持久化。建议加强EDR对驱动加载监控、SCM服务异常检测及卷影备份保护。

本文介绍GitHub新仓库LocalStranger，演示利用微软签名驱动WinNotify.sys实现Windows本地提权的PoC。该驱动持有有效微软签名且未入黑名单，通过3个IOCTL即可从低权限账户提权至SYSTEM，展示了合法签名驱动的危险性。建议防御者关注驱动黑名单、启用HVCI等缓解措施，并监控BYOVD攻击行为。

本文深度剖析新型窃密木马Lunex（PsychedelicStealer）的技术细节。攻击链包括：通过ClickFix假验证码诱导安装恶意MSI，利用CMSTPLUA绕过UAC，使用BYOVD技术加载存在CVE-2023-20598漏洞的AMD驱动致盲EDR，核心持久化机制是注册Chrome原生消息主机（NMH）后门，通过PowerShell脚本实现文件系统操作。该木马为MaaS平台，背后疑为俄语开发团队。建议企业强化浏览器策略，严管Chrome扩展和NMH注册，并监控LOLDrivers驱动加载。