win10禁用驱动程序强制签名_勒索软件利用 Windows 驱动程序漏洞关闭防病毒软件 | 每日安全资讯...

攻击基于 2018 年在技嘉驱动程序中发现的安全漏洞，该安全漏洞在 CVE-2018-19320 中有详细说明。 作者/来源：安华金和

安全公司 Sophos 警告说，新的勒索软件攻击使用了易受攻击的技嘉驱动程序，试图闯入 Windows 系统，然后禁用正在运行的安全软件。该攻击基于 2018 年在技嘉驱动程序中发现的安全漏洞，该安全漏洞在 CVE-2018-19320 中有详细说明。

该驱动程序在技嘉确认该错误后已被废弃，它允许恶意攻击者利用此漏洞来尝试访问设备并部署第二个驱动程序，目的是杀死系统当中的杀毒产品。Sophos 表示，第二个驱动程序会不遗余力地杀死属于端点安全产品的进程和文件，绕过篡改保护，使勒索软件能够在不受干扰的情况下进行攻击。这是安全研究人员第一次观察到勒索软件运送一个微软联合签名的第三方驱动程序来修补内存中的 Windows 内核，以加载自己未签名的恶意驱动程序，并从内核空间中删除安全应用程序

这次黑客使用的勒索软件称为 RobbinHood，它要求受害者付款以解锁其文件。赎金记录上写着，如果他们不付款，价格每天就会增加 1 万美元。利用技嘉 gdrv.sys 驱动程序的可执行文件称为 Steel.exe，它提取 Windows temp 文件夹中名为 ROBNR.exe 的文件，该文件依次提取两个不同的驱动程序，一个由 Gigabyte 开发(易受攻击)，另一个用于禁用受损设备上的防病毒软件。一旦该漏洞被利用，Windows 驱动程序签名强制将被禁用，从而允许启动恶意驱动程序。

Sophos表示，除了在勒索软件攻击中保持安全的常用做法外，没有什么可以帮助用户阻止该漏洞被黑客利用。