关于byovd攻击的原材料

Lazarus 黑客组织利用 CVE-2024-21338 安全漏洞在其 FudModule rootkit 的更新版本中创建了一个读/写内核基元（ESET 于 2022 年底首次记录了 CVE-2024-21338 漏洞。研究人员近期发现，Lazarus 黑客组织正在试图利用 Windows AppLocker 驱动程序 appid.sys 中的零日漏洞 CVE-2024-21338，获得内核级访问权限并关闭安全工具，从而能够轻松绕过 BYOVD（自带漏洞驱动程序）技术。

相信驱动大家都不陌生，它是操作系统与硬件设备之间的接口程序。驱动程序使得操作系统能够与硬件设备进行通信和控制，提供硬件的抽象，使得上层应用程序能够简便地调用硬件功能。通俗来讲，就是系统通过驱动去调用硬件。设备驱动程序（Device Driver）：最常见的驱动类型，用于支持各种硬件设备，如显卡、网卡、硬盘、打印机等。内核驱动（Kernel Mode Driver）：运行在操作系统内核模式下，具有最高权限，可以直接访问硬件资源。用户模式驱动（User Mode Driver）

本文深入剖析2024-2026年Windows内核提权技术演进，揭示黑客如何突破系统防线。内核提权（Ring0）因其无视权限校验、实现完美隐身等优势成为攻击焦点。文章详解主流提权套路：堆溢出（如CVE-2026-20820）、竞态条件（CVE-2025-62215）、UAF漏洞（CVE-2025-24044）及绕过KCFG/KCET防护的技术。特别指出BYOVD（自带漏洞驱动）已成主流战术，通过加载老旧驱动实现稳定提权。

​利用gmer驱动程序有效地禁止使用或杀死EDR和AV，它可以流畅地绕过HVCI；该样本来自 loldrivers：https://www.loldrivers.io/drivers/7ce8fb06-46eb-4f4f-90d5-5518a6561f15/

2023年，勒索软件组织发起的自带漏洞驱动程序（BYOVD）攻击不断增加，其中Kasseika勒索软件是最新加入这一趋势的组织之一。继Akira、BlackByte和AvosLocker之后，Kasseika也开始使用这种策略来终止反病毒进程和服务以部署勒索软件。在趋势科技最新调查的案例中，研究人员发现Kasseika勒索软件滥用Martini驱动程序来终止受害者机器的防病毒相关进程。在对Kasseika勒索软件攻击链的分析中，研究人员观察到类似于BlackMatter勒索软件的指标。

BYOVD攻击作为内核级终端对抗的典型代表，其本质是对“信任机制”的滥用与对“权限边界”的突破。随着驱动技术的不断发展与攻击手段的持续升级，BYOVD攻击的威胁将长期存在。对于企业而言，应对BYOVD攻击不能仅依赖单一的安全产品，而需要构建“驱动管控+内核防护+行为检测+应急响应+主动免疫”的纵深防御体系。同时，加强与行业的协同合作，共享威胁情报与防御经验，才能在这场“内核级对抗”中占据主动，守护终端安全的最后一道防线。

LitterBox是一款专为恶意软件开发者和红队人员设计的沙箱工具，提供了强大的恶意软件检测机制测试功能。其中，HolyGrail模块作为LitterBox的核心组件，专注于BYOVD（Bring Your Own Vulnerable Driver）攻击的检测与防御，帮助安全研究人员有效识别和应对内核驱动漏洞带来的安全威胁。 ## 什么是BYOVD攻击？ BYOVD攻击是一种高级威胁技术，攻

本文深入解析BYOVD技术如何利用内核驱动漏洞实现免杀攻击，详细介绍了其核心原理、驱动漏洞的发现与利用技术，以及在免杀攻击中的实际应用。同时提供了防御BYOVD攻击的最佳实践，包括驱动黑名单、内核完整性保护和行为监控等策略，为安全研究人员提供全面的技术视角。

（Bring Your Own Vulnerable Driver，自带易受攻击驱动）是攻击者利用的一种提权与绕过防御的技术手段，核心逻辑是攻击者将存在漏洞的Windows内核驱动文件上传至目标系统，通过加载该驱动并触发其漏洞，突破用户态权限限制获取内核级权限，进而绕过EDR、防病毒软件等安全防护，执行后续恶意操作；这类技术常被用于高级持续性攻击，且因合法驱动签名机制可被滥用，成为Windows系统安全防御的重点难点。

BYOVD 开源项目最佳实践教程 1. 项目介绍 BYOVD（Build Your Own Virtual Disk）是一个开源项目，旨在提供一个简单易用的框架，帮助开发者构建自己的虚拟磁盘。该框架基于C++开发，具有良好的跨平台性和扩展性。通过BYOVD，开发者可以快速搭建出符合自身需求的虚拟磁盘系统，为各类应用提供可靠的存储解决方案。 2. 项目快速启动 安装依赖 在开始之前，请确保您的系统已...

BYOVD 的安装和配置教程 1. 项目的基础介绍和主要的编程语言 BYOVD（Build Your Own Video Downloader）是一个开源项目，旨在帮助用户构建自己的视频下载器。该项目允许用户从互联网上下载视频内容，并支持多种视频网站。项目使用的主要编程语言是Python，它以其易读性和强大的库支持，成为开发此类应用程序的流行选择。 2. 项目使用的关键技术和框架 在技术栈方面，B...

最近一两年BYVOD技术被广泛应用到了各种黑产攻击、APT攻击以及勒索病毒攻击活动当中，笔者近期在对某黑产组织进行跟踪，捕获到该组织的最新攻击样本，通过某安全厂商的驱动漏洞，利用BYVOD技术对抗其他安全软件包括各种EDR、AV、XDR软件等，对该样本进行详细分析，该组织正处于发展阶段，通过肉鸡控制大量主机，从而进行网络违法犯罪活动。

目标：通过公开披露文档理解和研究"自带易受攻击驱动"技术——。

挖矿木马通过各种手段将挖矿程序植入受害者的计算机中，在用户不知情的情况下，利用受害者计算机的运算能力进行挖矿，从而获取非法收益。目前已知多个威胁组织（例如，

自APT组织使用BYOVD技术以来，驱动kill杀软的例子数不胜数，对于免杀，既然免杀不了，那就直接干掉杀软。今天分享一个简单的办法，利用白名单机制，在三环直接Kill掉某杀软，直接免杀。

另外，企业还应设立专门的技术支持团队，帮助员工应对 BYOD 上遇到的问题和处理 BYOD 安全相关事务以便更好地实现 BYOD。总之，对于 BYOD 管理而言，“防范胜于治疗”，企业应该从政策层面入手加强 BYOD 设备的使用监管和风险控制，并建立一套完整可行的 BYOD。要安装的服务器或虚拟机能够连接互联网的情况下可以通过以下命令自动安装，服务器或虚拟机不能连接互联网的请见下方的离线安装说明。安全管理体系，从而确保 BYOD 政策的安全有效执行并保护企业信息和数据免受潜在的威胁和挑战。