1. 项目概述当游戏反作弊驱动成为攻击者的“万能钥匙”最近在分析威胁情报时一个名为“Interlock”的勒索组织引起了我的高度关注。他们不走寻常路没有采用泛滥的勒索软件即服务RaaS模式而是搞起了“小而精”的自研路线。更让人后背发凉的是他们找到了一把精准打击现代企业安全防线的“万能钥匙”——一个存在于合法游戏反作弊驱动中的0day漏洞CVE-2025-61155。这把钥匙让他们能以内核级的权限像关掉自家电灯一样轻松瘫痪掉端点检测与响应EDR和杀毒软件AV的进程。这可不是简单的绕过而是精准的“外科手术式”瘫痪在加密勒索和数据窃取的双重打击开始前先让企业的“眼睛”和“免疫系统”彻底失效。对于从事安全运营、威胁狩猎或者红队评估的同行来说这个案例的价值远超一个普通的漏洞预警。它揭示了一种极具威胁的攻击范式攻击者不再仅仅满足于在用户层和应用层跟你玩“猫鼠游戏”而是直接利用供应链中受信任的、拥有至高权限的合法驱动从系统最底层发起釜底抽薪式的攻击。理解这种攻击的完整链条、技术细节以及背后的防御思路对于我们构建更有韧性的安全体系至关重要。无论你是想了解前沿的攻击技术以提升防御水位还是在进行渗透测试时寻找新的思路这个由Interlock组织“演示”的实战案例都值得你花时间深入拆解。2. 攻击全景解析从社工到内核的完整杀伤链要防御一种攻击首先得彻底理解它是如何发生的。Interlock组织的这次攻击并非一蹴而就而是一条环环相扣、步步为营的精密链条。我们可以将其拆解为四个关键阶段初始入侵、横向移动与侦察、防御规避核心以及最后的勒索与数据外泄。2.1 初始入侵社会工程学与轻量级载荷攻击的起点往往是最薄弱的环节——人。根据分析报告Interlock很可能通过一种名为“ClickFix”的社会工程学手段发起攻击。这类攻击通常伪装成软件更新通知、问题修复工具或紧急安全警报诱导用户点击运行恶意程序。一旦中招攻击者投下的第一个“钉子”是MintLoader。MintLoader是一种加载器Loader其核心任务不是直接搞破坏而是作为“先遣部队”负责在受害主机上安全落地并执行下一阶段的恶意代码。它通常会使用进程注入、代码混淆或利用合法白文件LOLBAS等技术来规避初级的静态检测。在MintLoader成功执行后它会释放或下载一个名为NodeSnakeRAT的JavaScript植入程序。这里有个值得注意的细节使用JavaScript编写的RAT远程访问工具。这选择很巧妙。首先Windows系统原生支持JScript通过cscript.exe或wscript.exe无需额外安装环境兼容性极佳。其次JS脚本文件.js在日常办公环境中出现并不突兀比可执行文件.exe更容易绕过一些基于文件类型的粗粒度过滤策略。NodeSnakeRAT为攻击者提供了最初的远程命令执行能力建立了稳固的立足点。实操心得防御视角的思考这个阶段防御的关键在于“中断”。除了常规的员工安全意识培训技术层面可以重点关注应用控制策略在终端上部署严格的应用程序白名单只允许授权签名的程序执行能从根本上阻断MintLoader这类未知加载器的运行。脚本执行监控对cscript.exe和wscript.exe的调用行为进行深度监控特别是当其尝试从网络位置下载或执行非常见路径下的.js文件时应产生高优先级告警。邮件与网页网关过滤加强对带有“紧急修复”、“系统更新”等诱导性词汇的邮件附件和网页链接的检测与拦截。2.2 横向移动与持久化利用合法工具“隐身”获得初始访问权限后攻击者便开始在内部网络“逛”起来。他们熟练地使用“Living off the Land” (LotL) 战术即利用操作系统自带的、被视为合法的管理工具和二进制文件如net.exe,sc.exe,powershell.exe,wmic.exe进行横向移动、权限提升和持久化操作。例如他们可能使用net use命令建立到其他主机的SMB连接利用窃取或破解的凭证进行身份验证。使用sc命令创建远程服务以便在目标机器上执行命令。这些行为因为使用的是系统合法工具产生的日志和网络流量看起来与正常管理员活动高度相似给检测带来了巨大挑战。同时攻击者会进行广泛的系统探测收集主机名、IP地址、已安装的软件特别是安全软件、网络共享、域控信息等为后续精准打击EDR/AV和选择高价值加密目标绘制详细的“作战地图”。持久化方面他们可能会创建计划任务、注册表Run键、或者篡改系统服务确保即使在重启后也能重新获得控制权。注意事项LotL攻击的检测难点单纯依靠进程名或命令行哈希来检测LotL攻击是无效的。有效的检测需要结合行为序列分析和上下文关联。例如一个来自非管理员常用登录IP的会话在短时间内连续使用了net group “domain admins” /domain、net view和sc \\target create等一系列命令这个行为序列的异常概率就极高。PowerShell脚本从外部URL下载内容后立即尝试禁用Windows Defender实时监控Set-MpPreference -DisableRealtimeMonitoring $true这是一个明确的恶意意图指示器。2.3 核心攻击阶段BYOVD与“Hotta Killer”的致命一击这是整个攻击链中最具技术含量、也最致命的一环。在摸清了环境并站稳脚跟后Interlock开始执行其核心任务瘫痪安全防御。他们使用了一个名为“Hotta Killer”的自定义工具而该工具的核心技术是“自带漏洞驱动”Bring Your Own Vulnerable Driver, BYOVD。BYOVD攻击原理简述Windows内核驱动拥有极高的权限Ring 0。一些合法的、经过微软数字签名的驱动程序可能因为编程缺陷存在漏洞如任意地址写入、权限提升。攻击者将这些有漏洞的合法驱动文件.sys带到目标系统并利用其漏洞以内核权限执行任意代码。“Hotta Killer”利用的正是一个名为GameDriverx64.sys的游戏反作弊驱动中的0day漏洞CVE-2025-61155。“Hotta Killer”的工作流程深度拆解驱动投递与加载攻击者将漏洞驱动的重命名副本如UpdateCheckerX64.sys上传到目标机器。然后他们利用sc.exe等工具通过创建服务的方式将该驱动加载到内核中。由于该驱动拥有合法的微软签名在默认的Windows驱动强制签名策略下它能够被顺利加载。用户态与控制模块“Hotta Killer”的主体功能实现在一个DLL文件polers.dll中。为了隐藏自身攻击者会通过进程注入技术例如注入到svchost.exe或explorer.exe这类稳定且常见的系统进程中来运行这个DLL。这种注入使得恶意代码的进程与合法进程融为一体增加了内存扫描的难度。内核通信与进程定位注入的DLL会创建一个符号链接Symbolic Link作为与内核中恶意驱动通信的通道。随后DLL开始扫描系统进程列表寻找需要终止的目标。它并非盲目杀戮而是有明确的“猎杀名单”——通过进程名模式匹配来定位EDR/AV的客户端进程。报告中提到的模式是”Forti*.exe”这显然是针对Fortinet产品的但工具完全可以配置其他模式如”CrowdStrike*”, “Sentinel*”, “MsMpEng.exe”等。内核级进程终止一旦找到目标安全进程的PID进程IDDLL便通过之前建立的通信通道将PID传递给内核中的漏洞驱动。驱动利用其漏洞获得的高权限直接调用内核API如ZwTerminateProcess强制终止目标进程。这个过程发生在内核层被终止的EDR/AV进程及其用户态的自保护机制完全无法抵抗。为什么这种攻击如此有效权限碾压内核权限Ring 0高于所有用户态程序Ring 3EDR的驱动也在内核但攻击者利用的驱动漏洞可能允许其执行更原始的操作。信任滥用利用的是带有合法数字签名的驱动绕过了基于签名的黑名单和部分启发式检测。精准打击只杀安全软件进程对系统其他功能影响极小不易触发系统稳定性告警。致盲效果EDR进程被终止后其文件监控、行为检测、网络流量分析等功能全部停止系统对后续的勒索软件投放、运行、加密以及数据外传等行为完全“失明”。2.4 最终阶段双重勒索与收尾在成功“致盲”安全系统后攻击者便进入了收获阶段。Interlock采用了典型的“双重勒索”策略数据窃取Exfiltration在部署勒索软件之前他们使用如AZCopy微软Azure的命令行工具等合法工具将窃取的大量敏感数据可能是财务记录、学生信息、研究数据等压缩、加密后传输到攻击者控制的云存储如Azure Blob Storage、AWS S3中。使用AZCopy这类工具是因为其产生的网络流量与正常的云服务同步流量相似在缺乏EDR监控的情况下更难被网络层设备发现异常。数据加密Encryption完成数据外泄后攻击者最后部署其专属的勒索软件载荷。由于此时EDR/AV已被瘫痪加密过程可以肆无忌惮地进行快速加密磁盘上的文件并留下勒索信。勒索信会威胁受害者如果不支付赎金不仅无法解密文件被盗的数据也会被公开售卖或发布。至此一次完整的、从外围社工到内核击破、兼具数据窃取和加密的勒索攻击完成。3. 技术深度剖析CVE-2025-61155漏洞与BYOVD利用链要真正理解防御之道我们必须深入“Hotta Killer”所利用的核心——CVE-2025-61155漏洞。虽然该漏洞的具体细节尚未完全公开但我们可以基于BYOVD的通用利用模式和游戏反作弊驱动的特性进行合理的逻辑推演。3.1 游戏反作弊驱动为何成为高危目标游戏反作弊驱动如GameDriverx64.sys是一个特殊的存在。它的设计目标是高权限为了检测和防止外挂、内存修改器它需要深度监控游戏进程的内存、线程和API调用这要求其拥有极高的内核权限。广泛兼容性需要支持海量不同的游戏和系统环境代码可能较为复杂且为了性能可能采用一些激进的底层操作。与用户态紧密交互反作弊客户端用户态需要频繁与驱动通信报告状态、发送指令这通常通过IOCTL输入输出控制码接口实现。这些特性使得反作弊驱动在安全上“天生脆弱”攻击面大暴露给用户态的IOCTL接口如果设计不当缺乏充分的参数验证就可能成为漏洞源头如缓冲区溢出、类型混淆。权限高一旦漏洞被利用攻击者获得的就是该驱动的高内核权限足以执行任意代码。受信任为了能正常加载它们通常持有有效的微软数字签名。因此攻击者一直在寻找这类驱动中的漏洞。找到后他们无需开发复杂的 rootkit 驱动只需“借用”这个已签名的、存在漏洞的驱动即可实现内核级操作。3.2 BYOVD利用链的通用模型“Hotta Killer”的利用过程遵循一个典型的BYOVD链条漏洞触发用户态恶意代码polers.dll通过DeviceIoControl函数向漏洞驱动发送一个精心构造的IOCTL请求。这个请求中包含恶意参数例如一个超长的缓冲区指针、或一个指向内核关键数据结构如进程对象EPROCESS的指针。权限提升驱动在处理这个恶意IOCTL时由于缺乏足够的验证如未进行 ProbeForRead/ProbeForWrite 检查或未验证指针有效性导致发生内存任意写入Arbitrary Write或任意读取Arbitrary Read。利用这个原语攻击者可以修改进程令牌将当前进程或指定进程的访问令牌Token权限提升至SYSTEM级别。关闭回调Windows安全软件会通过PsSetCreateProcessNotifyRoutine等函数注册内核回调以监控进程创建。攻击者可以定位并修改这些回调函数指针使其失效从而让EDR无法感知新进程的创建。直接操作进程/线程对象这正是“Hotta Killer”采用的方式。通过漏洞获得任意写入能力后恶意代码可以直接修改目标EDR进程的EPROCESS或ETHREAD对象中的关键字段或者更直接地调用需要高权限才能执行的内核函数如ZwTerminateProcess来结束进程。清理痕迹完成攻击后恶意代码可能会卸载或尝试恢复驱动的原始状态以增加取证难度。技术要点内核对象与进程终止在Windows内核中每个进程都有一个EPROCESS结构体。强制终止一个进程本质上需要调用ZwTerminateProcess内核函数并传入目标进程的句柄。要获得一个具有PROCESS_TERMINATE访问权限的进程句柄通常需要足够的权限。BYOVD漏洞让攻击者代码直接在内核态运行此时可以绕过所有权限检查直接通过进程的PID找到其EPROCESS对象并对其进行操作或直接调用终止函数。3.3 “Hotta Killer”工具的实现推测基于现有信息我们可以推测polers.dll的大致工作流程伪代码逻辑// 1. 加载恶意驱动可能通过服务或直接调用NtLoadDriver LoadVulnerableDriver(“C:\\Windows\\Temp\\UpdateCheckerX64.sys”); // 2. 打开与驱动通信的设备对象 HANDLE hDevice CreateFile(“\\\\.\\HottaKillerLink”, ...); // 3. 遍历进程寻找匹配模式的安全软件进程 DWORD targetPids[MAX_PIDS]; int count FindProcessesByNamePattern(“Forti*.exe”, targetPids); // 4. 通过IOCTL将PID数组传递给驱动触发漏洞执行内核终止 for (int i 0; i count; i) { KILL_REQUEST req { targetPids[i] }; DeviceIoControl(hDevice, IOCTL_TERMINATE_PROCESS, req, ...); } // 5. 清理卸载驱动可选 CloseHandle(hDevice); UnloadDriver();这个工具的精妙之处在于其模块化设计用户态的DLL负责进程枚举和逻辑控制内核的漏洞驱动负责执行高权限的“脏活”。两者通过IOCTL接口解耦使得攻击者可以相对容易地替换不同的漏洞驱动来适配不同目标环境。4. 防御体系构建从被动响应到主动免疫面对Interlock这种利用底层漏洞、手法专业的攻击者传统的“装个杀软就万事大吉”的思路已经完全失效。我们需要构建一个纵深防御体系覆盖攻击链的每一个环节核心思路是“增加攻击成本缩短检测响应时间”。4.1 预防性控制筑牢第一道防线预防的目标是在攻击发生前就阻断或大幅增加其难度。驱动加载控制最关键的一环启用内存完整性Memory Integrity这是Windows 11和Windows 10后期版本中的一项核心安全功能原名“基于虚拟化的安全VBS和受防护的代码完整性HVCI”。它利用硬件虚拟化技术将内核代码完整性验证隔离在一个受保护的环境中运行。启用后它能有效阻止未签名的驱动加载并对已签名驱动的行为进行严格限制是防御BYOVD攻击的最有力武器之一。在组策略gpedit.msc或注册表中可以启用相关设置。配置驱动阻止策略使用Windows Defender应用程序控制WDAC或第三方解决方案制定严格的驱动允许列表策略。只允许业务必需的、经过验证的驱动程序加载。可以将已知存在漏洞的驱动如特定版本的GameDriverx64.sys哈希值加入阻止列表。定期更新与漏洞管理虽然0day在公开前无法通过补丁防御但一旦漏洞被披露如CVE-2025-61155应立即关注厂商游戏公司、微软的安全更新并及时测试部署。同时建立软件资产清单特别是拥有内核驱动的高权限软件清单对其进行重点监控和更新。端点加固与最小权限实施应用程序控制如前所述使用AppLocker或WDAC建立应用程序白名单阻止包括cscript.exe、wscript.exe在内的非必要脚本宿主执行未授权的脚本从根本上阻断MintLoader、NodeSnakeRAT的初始运行。限制PowerShell在非管理员的日常工作环境中可以通过组策略限制PowerShell脚本的执行例如只允许签名脚本运行并监控所有PowerShell的日志启用模块日志、脚本块日志。网络分段与访问控制严格限制工作站之间的SMB445端口和RDP3389端口通信。除非有明确的业务需求否则默认阻止。这能极大限制攻击者在内部的横向移动能力。同时阻止内部主机向外部发起非业务必需的SMB/RDP连接。4.2 检测与响应在攻击链中尽早发现当预防措施失效时快速检测和响应是减少损失的关键。增强型日志记录与分析启用详细审核策略在域控和终端上启用“审核进程创建”、“审核策略更改”、“审核对象访问文件、注册表”等高级别审核策略并将日志集中收集到SIEM安全信息与事件管理系统。监控关键事件驱动加载事件监控Windows安全事件ID 6006驱动加载。特别关注非%SystemRoot%\System32\drivers\路径下加载的驱动或者驱动名与已知合法驱动不符的事件如UpdateCheckerX64.sys。进程创建与终止监控EDR/AV自身进程如MsMpEng.exe,CSFalcon.exe的非正常终止事件。一个安全进程被非管理员用户或未知父进程终止是极高的危险信号。服务创建与修改监控事件ID 7045服务创建警惕创建指向临时目录或可疑路径的服务的操作。用户与实体行为分析UEBA建立正常用户和管理员的行为基线。当发现一个账户在短时间内从非常用地点登录并执行了进程枚举、网络扫描、服务创建、驱动加载等一系列高权限操作时UEBA引擎应能产生高危告警。EDR/AV自身的强化与联动启用防篡改保护确保EDR/AV客户端的防篡改功能处于开启状态。这虽然不能完全抵御内核级攻击但能增加攻击者直接修改或终止其进程的难度。部署具备内核自保护能力的EDR选择那些具备强健内核驱动、能抵御一定程度的直接内核对象操作如回调移除、进程终止的EDR产品。一些高级EDR甚至能检测到内核内存的异常修改尝试。网络流量分析NTA在网络边界或核心交换机部署流量探针检测异常的数据外泄行为。例如内部主机突然向某个陌生的云存储域名如blob.core.windows.net传输数百GB的数据而该主机并非备份服务器这应触发紧急告警。4.3 假设失陷后的缓解与恢复我们必须假设防御可能被突破并为此做好准备。零信任与微隔离实施零信任网络访问ZTNA确保即使一台主机失陷攻击者也无法轻易访问到其他关键资产如域控、数据库服务器、文件服务器。网络微隔离技术可以将不同部门、不同安全等级的业务划分到不同的逻辑网段中。强身份认证与权限管理实施多因素认证MFA特别是对所有远程访问VPN、RDP和管理接口。遵循最小权限原则确保普通用户账户没有加载驱动、创建系统服务等高危权限。健全的备份与恢复流程这是应对勒索软件的最后防线。确保备份遵循“3-2-1”原则至少3份副本2种不同介质1份离线存储。定期测试备份数据的恢复流程确保其在紧急情况下可用。离线备份是防御勒索软件加密的关键因为攻击者无法触及离线介质。威胁狩猎Threat Hunting主动在环境中搜索Interlock攻击的痕迹。狩猎线索可以包括查找名为polers.dll、UpdateCheckerX64.sys或类似可疑名称的文件。搜索近期创建的、指向.sys文件的服务。在进程内存或磁盘上搜索”Forti*.exe”、”CrowdStrike*”等字符串模式攻击工具可能硬编码在其中。分析大量使用AZCopy、rclone等工具进行出站传输的日志。5. 实战推演与排查手册当警报响起时假设你作为安全分析师在SIEM中看到了“EDR客户端进程异常退出”的告警或者收到了用户关于文件被加密的报告。接下来该如何系统性地进行排查和应急响应以下是一个基于Interlock攻击特征的实战排查流程。5.1 初步评估与遏制确认与隔离确认范围立即确认受影响的主机数量、IP地址、主机名。检查是否有关键服务器域控、数据库、文件服务器中招。网络隔离在不影响业务核心的前提下立即将受影响的主机从网络中断开拔网线或通过交换机端口隔离。如果无法物理隔离则在主机防火墙或网络防火墙上阻断其所有出入站连接。保存现场在关机或重启前如果条件允许使用专业的取证工具如FTK Imager, KAPE对内存进行转储并对系统盘进行全盘镜像备份。这对后续的深入分析和取证至关重要。快速痕迹收集进程与服务快速运行命令收集信息如果系统还能响应# 查看当前进程列表重点关注可疑的、无签名的进程 tasklist /v # 查看系统服务寻找近期创建的、路径可疑的服务 sc query state all | findstr “SERVICE_NAME” # 查看驱动列表 driverquery /v文件系统快速检查临时目录、用户AppData目录、根目录等常见恶意软件藏身地dir /a /s C:\Windows\Temp\*.sys dir /a /s C:\Users\*\AppData\Local\Temp\*.dll dir /a /s C:\*.js日志立即导出系统日志Security, System, Application、PowerShell日志、EDR自身日志。5.2 深度分析与根因确定在隔离环境或取证镜像中进行深入分析。时间线分析使用工具如plaso/log2timeline构建系统活动的完整时间线。重点关注以下关键事件的发生顺序可疑进程创建如cscript.exe执行陌生.js文件。可疑服务创建指向.sys文件。驱动加载事件特别是非系统路径的.sys。EDR/AV进程终止事件。大量文件创建/修改加密过程。大规模网络外连数据外泄。内存取证分析之前获取的内存转储。使用Volatility或Rekall框架列出所有进程、网络连接、内核模块。重点查找名为UpdateCheckerX64.sys或类似的内核模块注入到svchost.exe等进程中的可疑DLL如polers.dll是否存在与已知漏洞利用模式匹配的内核对象篡改痕迹。磁盘取证查找恶意文件根据时间线和内存分析结果定位并提取相关的恶意样本.js,.dll,.sys, 勒索信等。分析文件特征对提取的样本进行静态分析哈希值、字符串、导入表和动态沙箱分析确认其行为进程终止、加密、外连等。检查持久化仔细检查注册表Run键、计划任务、服务、启动文件夹、WMI事件订阅等所有常见的持久化位置。网络日志分析检查防火墙、代理、DNS日志寻找在EDR进程终止后出现的、异常的数据外泄连接如大量数据上传到某个云存储IP/域名。回溯攻击初期查找可能用于下载恶意载荷的域名或IP。5.3 常见问题排查速查表现象/问题可能的原因排查步骤与命令EDR客户端进程突然消失1. 被用户手动结束2. 系统资源冲突3.被恶意软件强制终止BYOVD1. 检查安全事件日志事件ID 4689: 进程终止查看终止者进程ID和用户名。2. 检查系统日志看是否有驱动加载错误或崩溃。3.立即检查driverquery输出和系统drivers目录下是否有可疑的.sys文件特别是近期创建的。发现可疑的.sys文件1. 合法软件的驱动2. 恶意BYOVD驱动1. 验证文件数字签名signtool verify /v file.sys。2. 查询文件哈希在VirusTotal等平台的情报。3. 检查是哪个服务加载了此驱动sc query或Get-WmiObject Win32_SystemDriver。系统出现大量.encrypted或.readme文件勒索软件加密1.立即隔离主机2. 不要尝试自行解密可能破坏现场。3. 查看勒索信内容确定勒索软件家族可参考ID Ransomware等网站。4. 检查备份可用性。网络监控发现异常外联1. 正常软件更新2. 恶意软件C2通信或数据外泄1. 关联外联时间点与主机上的可疑进程活动。2. 分析外联域名/IP是否为新注册域名、云存储IP段。3. 检查该主机上是否运行了azcopy.exe,rclone.exe等工具。svchost.exe进程内存异常1. 正常服务加载2.进程注入如polers.dll1. 使用tasklist /m或Process Explorer查看该svchost.exe进程加载了哪些DLL。2. 查找不在System32或SysWOW64下的、可疑的DLL模块。5.4 恢复与加固在确定根因、清除所有威胁并确保网络环境安全后方可开始恢复。系统重建对于已被加密或确认被深度入侵的服务器和工作站最安全的方式是从干净的镜像或安装介质中重建系统并安装所有最新补丁。避免直接在受感染系统上“清理”以防有隐藏的后门或Rootkit。密码重置重置所有可能已泄露的本地管理员密码、域用户密码、服务账户密码以及相关系统的远程访问凭证。恢复数据从已验证干净的离线备份中恢复业务数据。复盘与加固召开事后复盘会议分析攻击入口、防御失效点并据此更新安全策略实施本章第4节提到的各项加固措施特别是启用内存完整性HVCI和强化驱动加载控制。面对Interlock这类利用底层漏洞的尖端攻击防御方必须转变思维从单一的“查杀”升级到覆盖预防、检测、响应、恢复的完整安全运营体系。核心在于不依赖单一防线不信任任何单一组件即使是签名的驱动通过层层设防和持续监控让攻击者的每一步都暴露在聚光灯下从而在其造成实质性损害前将其阻断。这场攻防博弈没有终点唯有持续学习、不断加固才能守住数字世界的安全底线。