Reynolds勒索软件通过嵌入BYOVD禁用EDR清静工具

宣布时间 2026-02-12

1. Reynolds勒索软件通过嵌入BYOVD禁用EDR清静工具


2月10日，，，， ，，网络清静研究职员披露新型勒索软件Reynolds，，，， ，，其载荷内嵌BYOVD（自带误差驱动）组件，，，， ，，直接集成保存误差的NsecSoft NSecKrnl驱动（CVE-2025-68947），，，， ，，在安排时终止Avast、CrowdStrike Falcon、Cortex XDR等多款清静软件历程，，，， ，，实现防御规避。。。。该手艺并非首创，，，， ，，此前Ryuk、Obscura及Silver Fox组织均接纳类似手法，，，， ，，使用正当驱动误差关闭清静工具后投放恶意载荷。。。。行业数据显示，，，， ，，2025年勒索软件宣称攻击达4737起，，，， ，，较2024年微增；；仅窃取数据施压的攻击达6182起，，，， ，，同比激增23%。。。。第四序度平均赎金支付额达59.1万美元，，，， ，，环比暴涨57%，，，， ，，主因是高额息争案频发。。。。勒索软件目的正从外地装备转向云存储，，，， ，，如AWS S3桶，，，， ，，通过云原生功效删除、笼罩数据或窃取敏感内容。。。。


https://thehackernews.com/2026/02/reynolds-ransomware-embeds-byovd-driver.html


2. 微软市肆Outlook AgreeTo加载项遭挟制


2月11日，，，， ，，克日，，，， ，，微软官方应用市肆中的Outlook AgreeTo加载项被曝遭挟制，，，， ，，演变为网络垂纶工具包，，，， ，，已窃取超4000个Microsoft账户凭证、信用卡号及银行清静验证谜底。。。。该插件原为正当聚会安排工具，，，， ，，由自力开发者于2022年12月提交至Microsoft Office加载项市肆，，，， ，，使用Vercel托管URL。。。。只管开发者后续放弃项目，，，， ，，但插件仍被微软市肆保存，，，， ，，威胁行为者趁机接受其伶仃URL，，，， ，，植入垂纶�？ ？？�。。。。据供应链清静公司Koi Security研究职员披露，，，， ，，攻击者安排了伪造的微软登录页面、密码网络表单及数据泄露剧本。。。。用户通过Outlook翻开该插件时，，，， ，，会显示侧边栏中的假登录界面，，，， ，，诱骗输入账户信息。。。。输入的凭证将通过Telegram机械人API泄露至攻击者，，，， ，，受害者则被重定向至真实微软登录页以降低嫌疑。。。。值得注重的是，，，， ，，插件上架后无需特殊验证流程，，，， ，，微软仅在提交时审核清单文件并签字批准。。。。AgreeTo曾通过审核，，，， ，，其所有资源均从开发者效劳器加载，，，， ，，而该效劳器现已被攻击者控制。。。。


https://www.bleepingcomputer.com/news/security/microsoft-store-outlook-add-in-hijacked-to-steal-4-000-microsoft-accounts/


3. LummaStealer借CastleLoader与ClickFix手艺卷土重来


2月11日，，，， ，，网络清静公司Bitdefender最新报告指出，，，， ，，信息窃取恶意软件LummaStealer自2025年7月恢复运营后，，，， ，，于2025年12月至2026年1月时代熏染量显著激增。。。。此次扩散主要依赖名为CastleLoader的恶意软件加载器及ClickFix手艺撒播链，，，， ，，形成多阶段攻击系统。。。。LummaStealer作为恶意软件即效劳（MaaS）平台，，，， ，，曾于2025年5月被多国执法部分查封，，，， ，，摧毁2300个域名及中央指挥结构。。。。然而，，，， ，，其运营方通过CastleLoader实现快速苏醒。。。。CastleLoader接纳�？ ？？榛诖嬷葱心Ｗ�，，，， ，，连系多层混淆手艺，，，， ，，可在内存中解密并加载LummaStealer有用载荷。。。。其无邪的下令与控制（C2）通讯机制及沙箱检测能力，，，， ，，使其能规避清静剖析并调解长期化战略，，，， ，，通过复制AutoIT剧本至特定路径、安排诠释器及建设Internet快捷方法实现开机自启动。。。。撒播路径方面，，，， ，，CastleLoader通过ClickFix手艺实验社会工程攻击：用户被诱导至虚伪验证码页面，，，， ，，执行剪贴板中预设的恶意PowerShell下令，，，， ，，最终从攻击者效劳器下载并执行CastleLoader，，，， ，，进而加载LummaStealer。。。。


https://www.bleepingcomputer.com/news/security/lummastealer-infections-surge-after-castleloader-malware-campaigns/


4. ApolloMD遭网络攻击致62.6万患者信息泄露


2月12日，，，， ，，美国佐治亚州着名医疗保健公司ApolloMD克日披露，，，， ，，其2025年遭遇网络攻击导致626,540名患者敏感信息泄露，，，， ，，成为美国医疗行业又一起重大数据清静事务。。。。ApolloMD是一家为全美100余家医院提供多专科医生效劳的医疗集团，，，， ，，在18个州运营超125家诊所，，，， ，，年接诊量约400万人次。。。。凭证美国卫生与公众效劳部最新文件，，，， ，，该公司于2025年5月22日至23日时代遭遇黑客入侵，，，， ，，系统被不法会见并窃取了大宗患者数据。。。。泄露信息涵盖姓名、出生日期、地点、诊断纪录、就诊日期、治疗计划、康健包管数据及社会包管号码等高度敏感内容。。。。值得注重的是，，，， ，，ApolloMD虽在2025年9月即通知受害者数据泄露事务，，，， ，，但直至2026年2月10日才向联邦羁系机构完整披露受影响人数。。。。此次事务中，，，， ，，麒麟勒索软件团伙于2025年6月果真宣称对攻击认真。。。。


https://therecord.media/georgia-healthcare-company-data-breach-impacts-620000


5. Crazy勒索软件团伙滥用正当监控工具实验攻击


2月11日，，，， ，，Huntress研究职员发明，，，， ，，Crazy勒索软件团伙成员正通过滥用Net Monitor for Employees Professional和SimpleHelp等正当远程治理工具，，，， ，，在企业网络中建设长期性会见并规避检测。。。。该团伙在多起攻击事务中，，，， ，，使用Windows Installer工具msiexec.exe从开发者网站直接安排监控署理，，，， ，，实现远程桌面审查、文件传输和下令执行等完全交互式会见权限。。。。攻击者通过执行下令启用外地治理员账户，，，， ，，并通过PowerShell下载伪装成Visual Studio vshost.exe的SimpleHelp客户端，，，， ，，安排OneDriveSvc.exe等伪装文件，，，， ，，形成冗余长期性机制，，，， ，，纵然员工监控工具被移除，，，， ，，仍可通过SimpleHelp坚持远程会见。。。。该团伙还通过设置监控规则，，，， ，，在装备会见加密钱币钱包或远程治理工具时触发警报，，，， ，，为安排勒索软件和加密钱币偷窃做准备。。。。日志显示，，，， ，，攻击署理一连监控区块链浏览器（Etherscan）、生意所（Binance）及支付平台（Payoneer）相关要害字，，，， ，，并检测远程会见工具活动，，，， ，，形成多维监控系统。。。。


https://www.bleepingcomputer.com/news/security/crazy-ransomware-gang-abuses-employee-monitoring-tool-in-attacks/


6. Windows新型攻击：社工入口+Python后门恒久控制


2月9日，，，， ，，克日，，，， ，，清静研究职员忠言企业需提防一种针对Windows情形的新型网络攻击活动，，，， ，，其焦点特征是“入侵只是最先而非竣事”，，，， ，，攻击者通过社会工程手段建设初始会见后，，，， ，，使用Python工具、多后门及凭证窃取实现恒久控制并横向渗透。。。。该攻击以“ClickFix式”社会工程为起点，，，， ，，通过伪造过失新闻或虚伪IT提醒诱骗员工执行“Windows+R”下令输入恶意指令，，，， ，，看似例行操作实则为攻击者翻开后门。。。。微软纪录的“CrashFix”战略与此相关，，，， ，，但ARC Labs发明此次攻击更重大，，，， ，，攻击者安排Python驱动的后门及反射型DLL植入程序，，，， ，，通过Windows原生工具和PowerShell协调活动，，，， ，，阻止使用自界说二进制文件，，，， ，，降低被检测危害。。。。攻击的要害在于长期化与扩展会见。。。。ARC Labs剖析显示，，，， ，，攻击者同时安排多个自力植入程序，，，， ，，并接纳“反射加载DLL后门”设计，，，， ，，纵然简单起径袒露仍可维持会见。。。。这种分层工具战略模糊了剧本滥用与古板恶意软件的界线，，，， ，，增添了扫除难度。。。。入侵后，，，， ，，攻击从自动化转为操作员直接加入，，，， ，，攻击者绘制网络拓扑、识别高价值系统，，，， ，，通过横向移动使用被盗凭证举行身份验证，，，， ，，目的直指身份基础设施。。。。


https://cybernews.com/security/click-fix-access-broker-campaign-windows-python/