联想驱动程序暗藏内核级杀器：BYOVD攻击链下的EDR防护溃堤实录

近期终端安全领域曝出一则令人警醒的研究发现。安全研究员 Jehad Abudagga 在对联想旗下一个名为 BootRepair.sys 的驱动程序进行逆向分析时意外揭开了一条足以让端点检测与响应体系瞬间失能的攻击路径。这个最初随 Lenovo PC Manager 配套发布的驱动文件在 VirusTotal 平台上曾呈现出零检出的干净面貌其 SHA-256 哈希值为 5ab36c116767eaae53a466fbc2dae7cfd608ed77721f65e83312037fbd57c946表面看完全是可信的合法组件。然而正是这种基于数字签名的信任让它成为了自带易受攻击驱动程序攻击也就是圈内常说的 BYOVD 攻击的绝佳载体。所谓 BYOVD 攻击本质上是攻击者将持有有效签名的脆弱驱动程序植入目标系统借助内核级权限绕过端点安全软件的防护边界。与传统需要挖掘零日漏洞的思路不同这类攻击更擅长借壳上市——利用厂商正规发布的、已通过微软驱动签名校验的合法文件在安全软件的白名单视线内完成权限提升和防御瓦解。联想这个 BootRepair.sys 驱动之所以被盯上正是因为它在设计层面留下了多处可供低权限用户直接利用的安全缺口。深入逆向这驱动程序的内部逻辑后Abudagga 发现其暴露程度远超预期。驱动在系统中创建了名为 \Device\BootRepair 的设备对象却未配置任何有效的 DACL 访问控制列表这意味着普通用户进程也能毫无阻碍地与之建立通信。与此同时\DosDevices\BootRepair 符号链接直接将设备接口映射到用户层而 IRP_MJ_CREATE 请求的处理流程中居然完全缺失访问权限校验。换句话说任何拿到系统本地账号的攻击者甚至是权限极低的访客账户都能轻松获取该驱动的操作句柄。更致命的问题藏在 IOCTL 控制码的处理分支里。驱动程序注册了一个控制码 0x222014该接口只接收一个四字节长度的输入缓冲区内容即目标进程的 PID。一旦数据传入底层函数会直接调用 Windows 内核 API ZwTerminateProcess以内核态权限强行结束指定进程。这种设计在功能层面或许只是为了配合 PC Manager 的某种修复机制但在安全层面却等同于向所有用户敞开了一扇能够任意终结系统进程的后门包括那些受到操作系统特殊保护的安全关键服务。从实战角度看这一漏洞衍生出两条极具威胁性的攻击通道。第一种情况针对驱动已预装在目标终端的场景攻击者无需额外投放文件只需通过标准 Windows API 打开 \.\BootRepair 设备句柄再经由 IOCTL 0x222014 发送 EDR 或杀毒软件的进程标识符即可在毫秒级时间内让防护代理彻底静默。第二种情况则属于典型的 BYOVD 攻击范式当目标环境中不存在该驱动时攻击者可将这个已经过联想官方签名的驱动文件作为攻击载荷的一部分带入内网完成加载后再按部就班地清除安全进程为后续渗透工具的执行扫清障碍。在概念验证环节Abudagga 用这套方法成功终止了 CrowdStrike 的防护进程并在 EDR 失效后立即运行 Mimikatz 进行凭据转储。整个利用过程不需要复杂的外壳代码也不依赖堆栈溢出或释放后重用这类高级内存破坏技巧仅仅是打开设备、发送 PID 两个步骤其简洁程度与造成的破坏力形成了刺眼反差。这也从侧面说明内核驱动层面的安全缺陷一旦存在其被武器化的门槛往往远低于应用层漏洞。这一事件背后折射出的深层矛盾值得安全从业者深思。当前多数端点防护方案仍然高度依赖驱动签名信任链将持有有效证书的内核模块默认视为安全实体。然而 BootRepair.sys 的案例残酷地证明签名只能验证文件来源和完整性却无法担保其内部逻辑不存在可被滥用的设计缺陷。当攻击者开始系统性地搜集各类带签名的脆弱驱动并建立武器化驱动库时传统基于白名单的防御哲学便遭遇了根本性挑战。面对这类威胁防御侧需要调整思路。微软在 Windows 安全更新中持续扩充的易受攻击驱动阻止列表是基础性防线企业应当确保该策略在终端上生效阻止已知存在缺陷的驱动加载。与此同时EDR 产品自身需要增强对合法驱动异常行为的监测能力比如监控非特权进程向内核驱动发送进程终止指令这类反常操作而不是仅仅关注驱动是否持有签名。在系统加固层面通过组策略限制未授权驱动的安装权限、启用代码完整性策略对驱动加载进行更细粒度的管控也能在一定程度上压缩 BYOVD 攻击的落地空间。终端安全的战场正在向内核深处蔓延。当攻击者学会用厂商自己的签名钥匙打开系统内核的后门时防御方也必须把审视的目光从应用层拓展到每一个可能被滥用的内核组件。联想 BootRepair.sys 驱动漏洞并非孤例它只是庞大攻击面中的冰山一角。对于企业安全团队而言建立主动的驱动资产盘点机制、持续跟踪安全社区披露的脆弱驱动情报、并在终端行为监测中融入对内核级异常活动的感知已成为守护端点安全的必要功课。