近期安全社区曝出一则值得所有政企安全负责人警惕的消息：一款名为 DefenderKiller 的 POC 工具对外公开，借助 BYOVD（Bring Your Own Vulnerable Driver，自带漏洞驱动）思路，成为勒索攻击里越来越常用的前置杀防护手段。
整个攻击链路并不复杂：攻击者先获取终端本地权限，随后落地加载 KSLDriver.sys 驱动文件。该驱动自带微软合法数字签名，但属于早已停止维护的遗留老旧驱动。攻击者利用驱动在内核层的权限，下发指令直接终止上层杀毒、EDR 安全进程。等终端防护被强行关停之后，勒索程序、窃密木马等恶意载荷再顺势释放，完成后续破坏。
和以往漏洞利用不一样的是，攻击者并没有破解数字签名，全程走合法签名加载流程，攻击突破口，是很多企业普遍缺失的 驱动加载管控能力。
无独有偶，Sophos、Talos 安全团队在近期的威胁情报中，披露 VYPR 勒索软件变种也在大量复用同类攻击手法。攻击者先通过冒充 IT 服务台的语音钓鱼方式，骗取员工信任拿到远程会话权限，随后投放一大批存在缺陷的签名驱动作为备用武器，目标直指终端上的 EDR 防护产品。
为什么 BYOVD 现在变成勒索团伙的 “标准起手动作”？
很多企业投入成本部署了 EDR、杀毒软件，自认为终端防线足够牢固，却忽略了一个底层现实：绝大多数 EDR 运行在用户态，而驱动运行在内核层。
一旦攻击者成功加载这类拥有合法签名的漏洞驱动，EDR 在驱动层面前几乎没有防御能力，再精细的检测规则，也拦不住自身进程被内核指令直接终止。
长久以来，不少运维、安全人员都有一个危险惯性认知： 只要带有数字签名，程序、驱动就是安全可信的。
这个认知，恰恰是 BYOVD 攻击能够持续泛滥的核心土壤。
签名只能代表文件在签发时经过微软签名流程，不代表驱动没有漏洞、还适合在现代终端环境加载运行。
大量企业只做软件白名单， 缺少独立的驱动白名单策略；
WDAC、AppLocker 针对驱动的加固策略很少落地；
驱动注册、驱动加载行为，长期处于无监控、无告警状态。
这三项能力，在国内大量政企、制造业、中小企业的终端安全建设中，基本属于空白。
现在这类攻击早已不是红队圈小众的前沿研究，在真实勒索事件、内部红队演练里曝光频次持续上涨，从 “小众技巧” 变成勒索团伙常规攻击套路。
企业该自查哪些要点？
安全团队可以对照下面清单快速核查自身短板：
✅ 终端有没有对驱动注册、驱动加载事件做全链路日志审计和实时监控？
✅ 是否维护一份漏洞驱动黑名单，包含风险驱动哈希、对应的 CVE 编号，拦截高危老旧驱动加载？
✅ 安全防护进程的自保护能力是否到位，是否达到 ObRegisterCallbacks 内核回调级别的防护，而不是简单拦截 NtTerminateProcess 进程结束调用？
如何补齐内核驱动层面的防护短板？迪康端点安全一体化管理系统应对思路
EDR 被内核驱动击穿的痛点，核心是管控需要下沉到驱动加载这一层，只靠用户态防护很难对抗 BYOVD 攻击。迪康端点安全一体化管理系统，针对 BYOVD 这类漏洞驱动攻击，从加载拦截、行为审计、进程强自保护三个维度补齐防线：
第一，驱动准入管控，建立独立驱动白 / 黑名单体系。区别普通应用管控，单独对 sys 驱动文件做专项管控。运维人员可以导入已知漏洞驱动哈希库，像本次事件中的 KSLDriver.sys 这类高危遗留签名驱动，直接拦截加载；仅放行经过内部安全审批、业务必需的驱动，打破 “签名即可信” 的错误防护逻辑。
第二，驱动行为全量审计。实时捕获终端所有驱动注册、加载、卸载事件，记录驱动哈希、签名信息、加载时间、触发进程、操作账号。哪怕是合法签名驱动加载，只要不在授信清单内，就自动触发告警，方便安全人员及时发现异常 BYOVD 前置动作，不会等到 EDR 被杀、勒索加密之后才察觉。
第三，安全进程深度自保护。不只是简单拦截普通进程结束调用，提供内核级的进程保护能力，抵御漏洞驱动下发指令强行终止安全进程的行为，提升 EDR、杀毒程序对抗内核层攻击的韧性。
第四，联动威胁情报与行为基线。结合全网威胁情报更新漏洞驱动清单，同时学习终端基线行为，当一台办公终端突然批量加载大量陌生签名驱动时，判定为高风险行为，主动告警阻断，对应 VYPR 勒索那种批量投放备用驱动的攻击场景。
结语
勒索攻击的打法一直在迭代，从单纯钓鱼投毒，转向先打掉防护、再落地恶意载荷。BYOVD 的流行提醒我们：终端安全不能只盯着病毒、恶意程序，内核驱动这个底层入口，已经成为攻击者优先突破的目标。
放弃 “有签名就安全” 的固有思维，补上驱动管控、驱动审计、内核级自保护，才是抵御这一类勒索前置攻击的关键。
本文为网络安全行业资讯科普，仅供安全建设参考，不构成采购建议
