Reynolds勒索软件通过嵌入BYOVD禁用EDR清静工具

宣布时间 2026-02-12

1. Reynolds勒索软件通过嵌入BYOVD禁用EDR清静工具


2月10日 ，网络清静研究职员披露新型勒索软件Reynolds ，其载荷内嵌BYOVD（自带误差驱动）组件 ，直接集成保存误差的NsecSoft NSecKrnl驱动（CVE-2025-68947） ，在安排时终止Avast、CrowdStrike Falcon、Cortex XDR等多款清静软件历程 ，实现防御规避 。该手艺并非首创 ，此前Ryuk、Obscura及Silver Fox组织均接纳类似手法 ，使用正当驱动误差关闭清静工具后投放恶意载荷 。行业数据显示 ，2025年勒索软件宣称攻击达4737起 ，较2024年微增；仅窃取数据施压的攻击达6182起 ，同比激增23% 。第四序度平均赎金支付额达59.1万美元 ，环比暴涨57% ，主因是高额息争案频发 。勒索软件目的正从外地装备转向云存储 ，如AWS S3桶 ，通过云原生功效删除、笼罩数据或窃取敏感内容 。


https://thehackernews.com/2026/02/reynolds-ransomware-embeds-byovd-driver.html


2. 微软市肆Outlook AgreeTo加载项遭挟制


2月11日 ，克日 ，微软官方应用市肆中的Outlook AgreeTo加载项被曝遭挟制 ，演变为网络垂纶工具包 ，已窃取超4000个Microsoft账户凭证、信用卡号及银行清静验证谜底 。该插件原为正当聚会安排工具 ，由自力开发者于2022年12月提交至Microsoft Office加载项市肆 ，使用Vercel托管URL 。只管开发者后续放弃项目 ，但插件仍被微软市肆保存 ，威胁行为者趁机接受其伶仃URL ，植入垂纶�？� 。据供应链清静公司Koi Security研究职员披露 ，攻击者安排了伪造的微软登录页面、密码网络表单及数据泄露剧本 。用户通过Outlook翻开该插件时 ，会显示侧边栏中的假登录界面 ，诱骗输入账户信息 。输入的凭证将通过Telegram机械人API泄露至攻击者 ，受害者则被重定向至真实微软登录页以降低嫌疑 。值得注重的是 ，插件上架后无需特殊验证流程 ，微软仅在提交时审核清单文件并签字批准 。AgreeTo曾通过审核 ，其所有资源均从开发者服务器加载 ，而该服务器现已被攻击者控制 。


https://www.bleepingcomputer.com/news/security/microsoft-store-outlook-add-in-hijacked-to-steal-4-000-microsoft-accounts/


3. LummaStealer借CastleLoader与ClickFix手艺卷土重来


2月11日 ，网络清静公司Bitdefender最新报告指出 ，信息窃取恶意软件LummaStealer自2025年7月恢复运营后 ，于2025年12月至2026年1月时代熏染量显著激增 。此次扩散主要依赖名为CastleLoader的恶意软件加载器及ClickFix手艺撒播链 ，形成多阶段攻击系统 。LummaStealer作为恶意软件即服务（MaaS）平台 ，曾于2025年5月被多国执法部分查封 ，摧毁2300个域名及中央指挥结构 。然而 ，其运营方通过CastleLoader实现快速苏醒 。CastleLoader接纳�？榛诖嬷葱心Ｗ� ，团结多层混淆手艺 ，可在内存中解密并加载LummaStealer有用载荷 。其无邪的下令与控制（C2）通讯机制及沙箱检测能力 ，使其能规避清静剖析并调解长期化战略 ，通过复制AutoIT剧本至特定路径、安排诠释器及建设Internet快捷方法实现开机自启动 。撒播路径方面 ，CastleLoader通过ClickFix手艺实验社会工程攻击：用户被诱导至虚伪验证码页面 ，执行剪贴板中预设的恶意PowerShell下令 ，最终从攻击者服务器下载并执行CastleLoader ，进而加载LummaStealer 。


https://www.bleepingcomputer.com/news/security/lummastealer-infections-surge-after-castleloader-malware-campaigns/


4. ApolloMD遭网络攻击致62.6万患者信息泄露


2月12日 ，美国佐治亚州着名医疗保健公司ApolloMD克日披露 ，其2025年遭遇网络攻击导致626,540名患者敏感信息泄露 ，成为美国医疗行业又一起重大数据清静事务 。ApolloMD是一家为全美100余家医院提供多专科医生服务的医疗集团 ，在18个州运营超125家诊所 ，年接诊量约400万人次 。凭证美国卫生与公众服务部最新文件 ，该公司于2025年5月22日至23日时代遭遇黑客入侵 ，系统被不法会见并窃取了大宗患者数据 。泄露信息涵盖姓名、出生日期、地址、诊断纪录、就诊日期、治疗计划、康健包管数据及社会包管号码等高度敏感内容 。值得注重的是 ，ApolloMD虽在2025年9月即通知受害者数据泄露事务 ，但直至2026年2月10日才向联邦羁系机构完整披露受影响人数 。此次事务中 ，麒麟勒索软件团伙于2025年6月果真宣称对攻击认真 。


https://therecord.media/georgia-healthcare-company-data-breach-impacts-620000


5. Crazy勒索软件团伙滥用正当监控工具实验攻击


2月11日 ，Huntress研究职员发明 ，Crazy勒索软件团伙成员正通过滥用Net Monitor for Employees Professional和SimpleHelp等正当远程管理工具 ，在企业网络中建设长期性会见并规避检测 。该团伙在多起攻击事务中 ，使用Windows Installer工具msiexec.exe从开发者网站直接安排监控代理 ，实现远程桌面审查、文件传输和下令执行等完全交互式会见权限 。攻击者通过执行下令启用外地管理员账户 ，并通过PowerShell下载伪装成Visual Studio vshost.exe的SimpleHelp客户端 ，安排OneDriveSvc.exe等伪装文件 ，形成冗余长期性机制 ，纵然员工监控工具被移除 ，仍可通过SimpleHelp坚持远程会见 。该团伙还通过设置监控规则 ，在装备会见加密钱币钱包或远程管理工具时触发警报 ，为安排勒索软件和加密钱币偷窃做准备 。日志显示 ，攻击代理一连监控区块链浏览器（Etherscan）、生意所（Binance）及支付平台（Payoneer）相关要害字 ，并检测远程会见工具运动 ，形成多维监控系统 。


https://www.bleepingcomputer.com/news/security/crazy-ransomware-gang-abuses-employee-monitoring-tool-in-attacks/


6. Windows新型攻击：社工入口+Python后门恒久控制


2月9日 ，克日 ，清静研究职员忠言企业需提防一种针对Windows情形的新型网络攻击运动 ，其焦点特征是“入侵只是最先而非竣事” ，攻击者通过社会工程手段建设初始会见后 ，使用Python工具、多后门及凭证窃取实现恒久控制并横向渗透 。该攻击以“ClickFix式”社会工程为起点 ，通过伪造过失新闻或虚伪IT提醒诱骗员工执行“Windows+R”下令输入恶意指令 ，看似例行操作实则为攻击者翻开后门 。微软纪录的“CrashFix”战略与此相关 ，但ARC Labs发明此次攻击更重大 ，攻击者安排Python驱动的后门及反射型DLL植入程序 ，通过Windows原生工具和PowerShell协调运动 ，阻止使用自界说二进制文件 ，降低被检测危害 。攻击的要害在于长期化与扩展会见 。ARC Labs剖析显示 ，攻击者同时安排多个自力植入程序 ，并接纳“反射加载DLL后门”设计 ，纵然简单起径袒露仍可维持会见 。这种分层工具战略模糊了剧本滥用与古板恶意软件的界线 ，增添了扫除难度 。入侵后 ，攻击从自动化转为操作员直接加入 ，攻击者绘制网络拓扑、识别高价值系统 ，通过横向移动使用被盗凭证举行身份验证 ，目的直指身份基础设施 。


https://cybernews.com/security/click-fix-access-broker-campaign-windows-python/