多家國際網絡安全公司披露了一種利用舊版本驅動程序進行攻擊的新型勒索木馬技術。這種被稱為“驅動降級攻擊”（Driver Downgrade Attack）的攻擊方式，正在成為黑客突破系統防線、提升權限并部署勒索軟件的新手段。
攻擊原理：利用“合法”驅動的已知漏洞
該攻擊的核心在于，黑客利用了一個常被忽視的安全薄弱環節——數字簽名合法的舊版驅動程序。許多硬件廠商發布的驅動程序在更新過程中會修復安全漏洞，但舊版驅動程序的數字簽名通常不會被吊銷。攻擊者通過技術手段，誘使或強制目標系統“降級”安裝一個含有已知高危漏洞的舊版合法驅動程序。
由于該驅動擁有廠商的有效數字簽名，它能順利通過操作系統的安全驗證，被系統信任并加載。一旦加載成功，攻擊者便可利用該驅動程序中已被公開但未在受害者當前系統上修復的漏洞，以內核級權限執行惡意代碼，從而完全掌控系統。
攻擊鏈條：從驅動降級到勒索加密
典型的攻擊流程分為三步：
- 初始入侵與降級：攻擊者首先通過釣魚郵件、漏洞利用或其他方式獲得系統的初始立足點（通常是用戶級權限）。他們在受害機器上卸載當前的安全驅動版本，并安裝攜帶漏洞的特定舊版本驅動程序。
- 權限提升：利用舊版驅動中的漏洞（例如，CVE編號披露過的內存破壞漏洞），攻擊者精心構造攻擊載荷，觸發漏洞，成功將權限從普通的用戶權限提升至最高的內核權限。
- 部署勒索：獲得內核權限后，系統的一切安全防護（如防病毒軟件、端點檢測）形同虛設。攻擊者此時可以無所顧忌地部署勒索軟件，加密用戶文件、竊取敏感數據，并留下勒索通知。
對信息安全軟件開發的挑戰與啟示
這一攻擊手法的出現，給信息安全領域帶來了新的挑戰和深刻啟示：
- 信任模型的反思：過度依賴“數字簽名即安全”的靜態信任模型存在風險。安全軟件需要引入更動態的行為評估機制，不能僅因為驅動有合法簽名就放任其進行敏感內核操作。
- 供應鏈安全重要性凸顯：驅動程序的來源和版本管理成為安全關鍵點。安全軟件應具備檢測和阻止非常規驅動程序安裝（尤其是版本回退）的能力，并對加載的驅動程序進行漏洞關聯性分析。
- 縱深防御需加強：單一的防護點極易被繞過。必須構建從應用層、系統層到固件層的縱深防御體系。例如，啟用“內存完整性”（Memory Integrity）等基于虛擬化的安全功能，可以增加攻擊者利用內核漏洞的難度。
- 主動威脅狩獵：安全團隊應主動在資產中掃描已知存在高危漏洞的舊版驅動程序，無論其是否擁有合法簽名，并將其視為潛在風險進行更新或隔離。
- 開發安全（DevSecOps）的延伸：硬件和驅動開發商需建立更完善的驅動生命周期安全管理，包括考慮在修復高危漏洞后，通過合作機制吊銷舊版驅動的簽名，或提供強制更新工具。
防護建議
對于企業和個人用戶，應對此類威脅可采取以下措施：
- 嚴格管理驅動安裝：僅允許從官方或受信任的來源安裝和更新驅動程序，并啟用策略禁止用戶自行安裝驅動。
- 及時更新：不僅操作系統和應用軟件要及時打補丁，所有硬件驅動程序也應保持最新狀態。
- 啟用高級安全功能：在支持的系統上，務必開啟如Windows Defender系統防護（包括核心隔離、內存完整性）等基于硬件的安全特性。
- 部署下一代端點保護：采用具備行為檢測、漏洞利用阻止和攻擊指標狩獵能力的現代端點安全解決方案。
- 定期審計與清點：定期審查系統內所有已安裝的驅動程序，識別并移除老舊、非必需或存在已知風險的驅動。
“驅動降級攻擊”揭示了現代網絡攻擊中利用合法軟件供應鏈漏洞的復雜性和隱蔽性。它提醒我們，在信息安全開發與防御中，必須持續審視和加固每一個被視為可信的環節，構建動態、智能、多層次的主動防御體系，才能有效應對不斷進化的威脅。
