Reynolds勒索软件通过嵌入BYOVD禁用EDR清静工具

宣布时间 2026-02-12

1. Reynolds勒索软件通过嵌入BYOVD禁用EDR清静工具


2月10日，，，， ，网络清静研究职员披露新型勒索软件Reynolds，，，， ，其载荷内嵌BYOVD（自带误差驱动）组件，，，， ，直接集成保存误差的NsecSoft NSecKrnl驱动（CVE-2025-68947），，，， ，在安排时终止Avast、CrowdStrike Falcon、Cortex XDR等多款清静软件历程，，，， ，实现防御规避。。。。。该手艺并非首创，，，， ，此前Ryuk、Obscura及Silver Fox组织均接纳类似手法，，，， ，使用正当驱动误差关闭清静工具后投放恶意载荷。。。。。行业数据显示，，，， ，2025年勒索软件宣称攻击达4737起，，，， ，较2024年微增；；；仅窃取数据施压的攻击达6182起，，，， ，同比激增23%。。。。。第四序度平均赎金支付额达59.1万美元，，，， ，环比暴涨57%，，，， ，主因是高额息争案频发。。。。。勒索软件目的正从外地装备转向云存储，，，， ，如AWS S3桶，，，， ，通过云原生功效删除、笼罩数据或窃取敏感内容。。。。。


https://thehackernews.com/2026/02/reynolds-ransomware-embeds-byovd-driver.html


2. 微软市肆Outlook AgreeTo加载项遭挟制


2月11日，，，， ，克日，，，， ，微软官方应用市肆中的Outlook AgreeTo加载项被曝遭挟制，，，， ，演变为网络垂纶工具包，，，， ，已窃取超4000个Microsoft账户凭证、信用卡号及银行清静验证谜底。。。。。该插件原为正当聚会安排工具，，，， ，由自力开发者于2022年12月提交至Microsoft Office加载项市肆，，，， ，使用Vercel托管URL。。。。。只管开发者后续放弃项目，，，， ，但插件仍被微软市肆保存，，，， ，威胁行为者趁机接受其伶仃URL，，，， ，植入垂纶�？？？�。。。。。据供应链清静公司Koi Security研究职员披露，，，， ，攻击者安排了伪造的微软登录页面、密码网络表单及数据泄露剧本。。。。。用户通过Outlook翻开该插件时，，，， ，会显示侧边栏中的假登录界面，，，， ，诱骗输入账户信息。。。。。输入的凭证将通过Telegram机械人API泄露至攻击者，，，， ，受害者则被重定向至真实微软登录页以降低嫌疑。。。。。值得注重的是，，，， ，插件上架后无需特殊验证流程，，，， ，微软仅在提交时审核清单文件并签字批准。。。。。AgreeTo曾通过审核，，，， ，其所有资源均从开发者效劳器加载，，，， ，而该效劳器现已被攻击者控制。。。。。


https://www.bleepingcomputer.com/news/security/microsoft-store-outlook-add-in-hijacked-to-steal-4-000-microsoft-accounts/


3. LummaStealer借CastleLoader与ClickFix手艺卷土重来


2月11日，，，， ，网络清静公司Bitdefender最新报告指出，，，， ，信息窃取恶意软件LummaStealer自2025年7月恢复运营后，，，， ，于2025年12月至2026年1月时代熏染量显著激增。。。。。此次扩散主要依赖名为CastleLoader的恶意软件加载器及ClickFix手艺撒播链，，，， ，形成多阶段攻击系统。。。。。LummaStealer作为恶意软件即效劳（MaaS）平台，，，， ，曾于2025年5月被多国执法部分查封，，，， ，摧毁2300个域名及中央指挥结构。。。。。然而，，，， ，其运营方通过CastleLoader实现快速苏醒。。。。。CastleLoader接纳�？？？榛诖嬷葱心Ｗ�，，，， ，连系多层混淆手艺，，，， ，可在内存中解密并加载LummaStealer有用载荷。。。。。其无邪的下令与控制（C2）通讯机制及沙箱检测能力，，，， ，使其能规避清静剖析并调解长期化战略，，，， ，通过复制AutoIT剧本至特定路径、安排诠释器及建设Internet快捷方法实现开机自启动。。。。。撒播路径方面，，，， ，CastleLoader通过ClickFix手艺实验社会工程攻击：用户被诱导至虚伪验证码页面，，，， ，执行剪贴板中预设的恶意PowerShell下令，，，， ，最终从攻击者效劳器下载并执行CastleLoader，，，， ，进而加载LummaStealer。。。。。


https://www.bleepingcomputer.com/news/security/lummastealer-infections-surge-after-castleloader-malware-campaigns/


4. ApolloMD遭网络攻击致62.6万患者信息泄露


2月12日，，，， ，美国佐治亚州着名医疗保健公司ApolloMD克日披露，，，， ，其2025年遭遇网络攻击导致626,540名患者敏感信息泄露，，，， ，成为美国医疗行业又一起重大数据清静事务。。。。。ApolloMD是一家为全美100余家医院提供多专科医生效劳的医疗集团，，，， ，在18个州运营超125家诊所，，，， ，年接诊量约400万人次。。。。。凭证美国卫生与公众效劳部最新文件，，，， ，该公司于2025年5月22日至23日时代遭遇黑客入侵，，，， ，系统被不法会见并窃取了大宗患者数据。。。。。泄露信息涵盖姓名、出生日期、地点、诊断纪录、就诊日期、治疗计划、康健包管数据及社会包管号码等高度敏感内容。。。。。值得注重的是，，，， ，ApolloMD虽在2025年9月即通知受害者数据泄露事务，，，， ，但直至2026年2月10日才向联邦羁系机构完整披露受影响人数。。。。。此次事务中，，，， ，麒麟勒索软件团伙于2025年6月果真宣称对攻击认真。。。。。


https://therecord.media/georgia-healthcare-company-data-breach-impacts-620000


5. Crazy勒索软件团伙滥用正当监控工具实验攻击


2月11日，，，， ，Huntress研究职员发明，，，， ，Crazy勒索软件团伙成员正通过滥用Net Monitor for Employees Professional和SimpleHelp等正当远程治理工具，，，， ，在企业网络中建设长期性会见并规避检测。。。。。该团伙在多起攻击事务中，，，， ，使用Windows Installer工具msiexec.exe从开发者网站直接安排监控署理，，，， ，实现远程桌面审查、文件传输和下令执行等完全交互式会见权限。。。。。攻击者通过执行下令启用外地治理员账户，，，， ，并通过PowerShell下载伪装成Visual Studio vshost.exe的SimpleHelp客户端，，，， ，安排OneDriveSvc.exe等伪装文件，，，， ，形成冗余长期性机制，，，， ，纵然员工监控工具被移除，，，， ，仍可通过SimpleHelp坚持远程会见。。。。。该团伙还通过设置监控规则，，，， ，在装备会见加密钱币钱包或远程治理工具时触发警报，，，， ，为安排勒索软件和加密钱币偷窃做准备。。。。。日志显示，，，， ，攻击署理一连监控区块链浏览器（Etherscan）、生意所（Binance）及支付平台（Payoneer）相关要害字，，，， ，并检测远程会见工具活动，，，， ，形成多维监控系统。。。。。


https://www.bleepingcomputer.com/news/security/crazy-ransomware-gang-abuses-employee-monitoring-tool-in-attacks/


6. Windows新型攻击：社工入口+Python后门恒久控制


2月9日，，，， ，克日，，，， ，清静研究职员忠言企业需提防一种针对Windows情形的新型网络攻击活动，，，， ，其焦点特征是“入侵只是最先而非竣事”，，，， ，攻击者通过社会工程手段建设初始会见后，，，， ，使用Python工具、多后门及凭证窃取实现恒久控制并横向渗透。。。。。该攻击以“ClickFix式”社会工程为起点，，，， ，通过伪造过失新闻或虚伪IT提醒诱骗员工执行“Windows+R”下令输入恶意指令，，，， ，看似例行操作实则为攻击者翻开后门。。。。。微软纪录的“CrashFix”战略与此相关，，，， ，但ARC Labs发明此次攻击更重大，，，， ，攻击者安排Python驱动的后门及反射型DLL植入程序，，，， ，通过Windows原生工具和PowerShell协调活动，，，， ，阻止使用自界说二进制文件，，，， ，降低被检测危害。。。。。攻击的要害在于长期化与扩展会见。。。。。ARC Labs剖析显示，，，， ，攻击者同时安排多个自力植入程序，，，， ，并接纳“反射加载DLL后门”设计，，，， ，纵然简单起径袒露仍可维持会见。。。。。这种分层工具战略模糊了剧本滥用与古板恶意软件的界线，，，， ，增添了扫除难度。。。。。入侵后，，，， ，攻击从自动化转为操作员直接加入，，，， ，攻击者绘制网络拓扑、识别高价值系统，，，， ，通过横向移动使用被盗凭证举行身份验证，，，， ，目的直指身份基础设施。。。。。


https://cybernews.com/security/click-fix-access-broker-campaign-windows-python/