---

Ⅰ. 头脑风暴：想象两个“信息安全警报”在我们身边响起

在信息技术高速迭代的今天，企业内部的每一台电脑、每一条网络流量、甚至每一部工业机器人，都可能成为攻击者的潜在落脚点。下面请闭上眼睛，想象两个极具冲击力的情境——它们既是现实中的血的教训，也是我们每个人必须警醒的警钟。

情境一：某天早晨，财务部门的同事打开一封看似普通的邮件，附件是一个精心伪装的 Windows 快捷方式（.lnk）。当他双击时，后台悄然启动了一段 PowerShell 代码，自动下载了 GLOBAL GROUP 勒索软件。几分钟后，整个部门的工作站被加密，重要的财务报表瞬间变成了不可读的乱码文件。更可怕的是，攻击者在加密前已经植入了一个 BYOVD（Bring Your Own Vulnerable Driver）驱动，成功关闭了所有主流 EDR（Endpoint Detection and Response）产品的监控，使得安全团队寸步难行。

情境二：一家制造业企业正全力推进“无人化车间”计划，部署了上百台协作机器人（cobot）以及自驱式物流 AGV。某次例行维护后，技术人员在机器人控制服务器上发现了一个未知的内核驱动 NSecKrnl.sys。未经验证的驱动正是“Reynolds 勒索软件”捆绑的 BYOVD 组件，它利用 CVE‑2025‑68947 漏洞直接注销了机器人的控制进程，导致生产线停摆，损失高达数百万元。随后，攻击者通过已被禁用的安全工具，向企业内部网络渗透，进一步植入了远控木马 GotoHTTP，以便后续的勒索和数据窃取。

这两个场景看似天差地别，却有一个共同点：防御链条的某环被攻击者精准击破，导致整体安全体系失效。接下来，让我们走进真实的案例，剖析背后的技术细节与防护失误，帮助每一位员工在脑中构建起“攻击-防御-恢复”的完整闭环。

---

Ⅱ. 案例一：Reynolds 勒索软件的 BYOVD 之路

1. 事件概述

2026 年 2 月 10 日，Symantec 与 Carbon Black 联合发布的威胁情报报告披露，一种新型勒索软件家族 Reynolds 在其 payload 中集成了“自己带来的脆弱驱动”（BYOVD）——NsecSoft 出品的 NSecKrnl.sys。该驱动本身存在 CVE‑2025‑68947（CVSS 5.7），可被恶意进程利用来终止任意系统进程。Reynolds 通过先行投放该驱动，再在同一阶段执行进程劫持与加密，成功关闭了 Avast、CrowdStrike Falcon、Palo Alto Cortex XDR、Sophos、Symantec Endpoint Protection 等主流安全产品。

2. 攻击链剖析

步骤	攻击手段	目的	关键技术点
① 初始访问	通过钓鱼邮件、漏洞利用或已被折叠的侧载 Loader	获得系统权限	利用公开的漏洞或内部渗透工具
② 驱动部署	直接写入 NSecKrnl.sys 到系统目录，并注册为内核驱动	获得内核特权（SYSTEM）	利用驱动签名或签名伪造技术躲过驱动加载检查
③ 进程终止	触发 CVE‑2025‑68947，使驱动执行任意进程终止	关闭安全软件、系统监控进程	通过 ioctl 调用实现内核态进程列表遍历与结束
④ 勒索载荷	生成加密模块，使用 AES‑256 或 ChaCha20 加密文件	逼迫受害者支付赎金	加密前后生成进度条、延时执行、内存执行等混淆手段
⑤ 持续控制	部署 GotoHTTP 远控程序	维持后门、窃取数据	利用 HTTP/HTTPS 隧道规避网络检测

3. 防御失效的根本原因

1. 驱动签名审核缺失：企业多数采用的 EDR 对驱动签名的校验仅局限于 Microsoft WHQL 或者已知供应商的签名库，而 NSecKrnl.sys 使用了已被盗用的合法签名，使得安全产品误判为安全驱动。
2. 内核完整性监控不足：在 Windows 10/11 系统中，内核模块的完整性校验（如 Device Guard）若未开启或策略配置宽松，攻击者即可直接写入恶意驱动。
3. 横向检测盲区：传统的基于文件哈希或行为特征的检测在此案例中失效，因为驱动已在系统内核层面“隐形”，且加密载荷与驱动捆绑在同一二进制文件中，未出现额外的外部文件落地。

4. 启示与对策

• 强化驱动白名单：采用基于硬件根 Trust（TPM）结合的“驱动签名策略”，限制仅允许可信供应链签发的驱动加载。对未在白名单中的驱动进行阻断或提示。
• 开启内核代码完整性：在企业终端上强制开启“Secure Kernel Mode Code Signing (KMCS)”以及“Early Launch Antimalware (ELAM)”。该措施可在驱动加载早期进行校验，阻止非法驱动进入。
• 行为级监控：在 EDR 中加入对内核态系统调用（如 NtLoadDriver、IoCreateDevice）的异常频率检测，并结合机器学习模型识别异常进程终止行为。
• 定期安全审计：每月进行一次驱动清单比对，使用 PowerShell 脚本或专业工具生成系统当前加载的驱动列表，与基准清单进行差异分析，及时发现异常驱动。

---

Ⅲ. 案例二：GLOBAL GROUP LNK 钓鱼与全链路加密的“双重奏”

1. 事件概述

同一时期，另一起震动业界的攻击活动由 GLOBAL GROUP 发起。攻击者通过大规模LNK（快捷方式）钓鱼邮件，诱导受害者执行嵌入的 PowerShell 脚本，脚本下载并运行 Phorpiex Dropper，随后加载 GLOBAL GROUP 勒索软件。该勒索软件独辟蹊径，所有加密、通信、勒索页面均在本地完成，实现 Air‑Gap（空气隔离）兼容，不依赖外部 C2 服务器，令传统网络分段防护形同虚设。

2. 攻击链细节

1. 邮件投递：攻击者伪装成供应商或内部采购部门，使用社交工程手段获取收件人名单。邮件标题常见《采购合同》《发票调整》等高点击率词汇。
2. LNK 载体：快捷方式文件指向本地 PowerShell 命令（如 powershell -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -EncodedCommand <Base64>），若用户在文件资源管理器中点击，即触发脚本。
3. PowerShell 下载：脚本调用 Invoke-WebRequest 直接向攻击者控制的 CDN 下载 Phorpiex 并写入 %TEMP%，随后执行。
4. 本地加密：Phorpiex 将 GLOBAL GROUP 的加密核心写入内存，使用本地资源（如系统调用）完成文件加密。所有加密密钥、勒索页面（HTML）以及解密指令均嵌入到同一进程内存，避免网络请求。
5. 勒索信息展示：加密完成后，攻击者弹出本地 HTML 页面，展示支付比特币地址、解密说明，甚至提供“去中心化”方式的支付验证。

3. 防御缺口分析

• 文件后缀过滤失效：许多企业只在邮件网关拦截可执行文件（.exe、.js），忽略了 LNK 这类“看似安全”的快捷方式。
• PowerShell 受控不足：默认的 PowerShell 策略为 “RemoteSigned”，在企业内部若未开启 Constrained Language Mode，攻击者可以绕过所有脚本审计。
• Air‑Gap 假象：传统的网络隔离策略仅针对外部 C2 通信有效，但当攻击活动完全在本地完成时，网络防火墙与 IDS/IPS 均失去作用。

4. 防护建议

• 邮件网关加固：对所有 LNK、URL、VBS、BAT 等脚本类附件进行深度内容检测（Content Disarm & Reconstruction, CDR），并对高风险邮件实施多因素确认。
• PowerShell 监管：开启 PowerShell Script Block Logging 与 Module Logging，并在 EDR 中关联异常脚本行为（如下载二进制、写入 %TEMP% 后执行）进行自动阻断。
• 最小权限原则：针对普通员工工作站，禁用管理员权限的 PowerShell 运行，采用 Just-In-Time (JIT) 提升关键系统的权限生命周期管理。
• 行为式终端防护：使用 EDR 的 “文件less” 检测模块，对 内存注入、代码执行 进行实时监控，即使没有磁盘落痕也能捕获。

---

Ⅵ. 站在数据化、机器人化、无人化的交叉点：安全不能停摆

随着 工业互联网（IIoT）、智能制造、无人仓储以及 AI 生产线 的快速推进，信息安全的攻击面正呈 指数级扩大：

• 数据化：企业的核心业务正将业务数据、供应链信息以云端数据库、数据湖的方式集中管理。一次数据库泄露，可能导致上千家上下游企业的商业机密被一次性曝光。
• 机器人化：协作机器人（cobot）与自动化设备运行在实时操作系统（RTOS）之上，若攻击者获取对驱动层的控制，便可直接使机器人失控、破坏生产线甚至危及人身安全。
• 无人化：无人仓库、无人配送车（AGV）依赖于 5G/Edge 网络和 边缘计算 节点，网络中断或恶意指令能导致物流链条停摆。

在这种“三维交叉”的环境里，安全意识不再是 IT 部门的专属，而是 每一位员工、每一台机器、每一个操作流程 必须共同承担的职责。我们需要从以下几方面入手，构建全员、全链路、全周期的安全防护体系：

1. 安全文化渗透：把安全理念写进公司规章，把安全行为写进工作 SOP。让每个人在打开邮件、复制脚本、升级固件时，都自觉问自己：“这一步会不会给攻击者留下后门？”
2. 技术与培训并行：技术手段（EDR、零信任、硬件根信任）是防线，培训是兵员。即将开启的安全意识培训 将围绕真实案例、攻击手法演练、应急响应 SOP，帮助大家从“看得见的风险”步入“看不见的危机”防御。
3. 全员演练：定期开展 红蓝对抗 与 桌面推演，模拟勒索、数据泄露、机器人失控等情景，让每位员工在演练中找出认知盲点，形成闭环改进。
4. 跨部门协同：IT、OT、HR、法务等部门需要共建 安全事件响应平台（SOC），实现信息共享、快速定位、统一指挥。尤其在机器人系统和云平台之间，要实现 统一身份认证 与 细粒度访问控制。

---

Ⅶ. 号召：加入信息安全意识培训，共筑数字城墙

亲爱的同事们，信息安全不是遥不可及的高深学问，也不是只能由少数“黑客”或“安全专家”来做的事。它是一场全员参与、持续改进的马拉松：

• 培训时间：本月 15 日至 22 日，每天 10:00‑11:30（线上+线下同步）；
• 培训亮点：
  • 案例复盘：现场演示 Reynolds BYOVD 与 GLOBAL GROUP LNK 攻击全过程；
  • 实战实验：在受控的沙盒环境中亲手部署、检测、清除恶意驱动；
  • 技能测评：通过游戏化的安全闯关，检验你的防御思维；
  • 认证奖励：完成培训并通过测评的同事，将获得《企业信息安全合规员》数字徽章，可在内部系统中显示。

“防微杜渐，未雨绸缪”。古人云，“千里之堤，毁于蚁穴”。我们每个人的一个小小疏忽，可能酿成公司业务的“千里堤坝”。让我们从今天起，以主动防御的姿态，迎接数字化、机器人化、无人化时代的安全挑战。

让安全成为每一次点击、每一次代码提交、每一次设备升级的默认选项。只有这样，才能把攻击者的“黑暗计划”永远关在门外，让我们的业务在风口浪尖上稳稳前行。

---

昆明亭长朗然科技有限公司提供全面的信息保密培训，使企业能够更好地掌握敏感数据的管理。我们的课程内容涵盖最新安全趋势与实操方法，帮助员工深入理解数据保护的重要性。如有相关需求，请联系我们了解详情。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

前言：两则血泪教训，敲响警钟

在信息化浪潮汹涌而来的今天，企业的每一寸数字资产都像是暴露在阳光下的金条，吸引着各路“猎人”盯上。为了让大家在日常工作中不被这些“猎人”盯上，本文特意挑选了 两起极具代表性且影响深远的安全事件，通过剖析它们的来龙去脉、攻击手法以及防御失误，让大家在“血泪教训”中获得清晰的防护思路。

案例一：老旧 EnCase 驱动被“复活”——终结现代 EDR 防线

2026 年 2 月，知名安全厂商 Huntress 在一次客户的安全调查中，首次披露了一个令人震惊的 BYOVD（Bring Your Own Vulnerable Driver）攻击链。攻击者利用已经 签名但早已撤销的 EnCase Windows 内核驱动（Guidance Software 出品，证书已于 2010 年失效并被吊销），将其装载进受害机器的内核空间，从而获得了 “根”级别的操作权限。

攻击步骤概括如下：
1. 获取 VPN 凭证：攻击者通过钓鱼或泄露，拿到公司 SonicWall SSL VPN 的合法账号密码。
2. 内部横向扫描：利用 VPN 进入内网后，进行资产发现和系统指纹收集。
3. 部署“EDR Killer”二进制文件：该文件携带自研的 64 位 PE 和一个经过特殊编码的内核驱动（命名为 OemHwUpd.sys），在用户态解码后写入磁盘并注册为系统服务。
4. 驱动装载：由于 Windows 对已签名且带时间戳的旧驱动在加载时不检查证书撤销状态，系统直接接受了这个已失效的驱动。
5. 进程屠戮：驱动暴露的 IOCTL 接口被用于遍历进程表，针对 59 种已知的安全软件（包括 EDR、AV、HIPS）进行强制终止；每秒一次的轮询确保被重新启动的安全进程也会瞬间被砍掉。
6. 持久化：通过注册表和服务控制管理器（SCM）实现开机自启动。

这起事件之所以值得深思，核心在于 “签名仍然可信” 与 “时间戳漏洞” 的组合。虽然驱动的签名证书早已失效，但因为签名时使用了时间戳，验证逻辑会把签名时间视作“合法”，从而在任何后续验证中都视为有效。更糟的是，Windows 的 驱动签名强制（Driver Signature Enforcement, DSE） 在加载内核驱动时并未查询证书撤销列表（CRL），导致即便证书被吊销，系统仍然“盲目”接受。

如果你把旧的钥匙塞进现代的锁孔，锁可能仍然会打开。——这句话形象地说明了“兼容性”给攻击者留下的后门。

案例二：SolarWinds Orion 供应链攻击——黑客潜伏一年，悄然收割数据

虽然这起案例已经过去数年，但它仍是 供应链安全 的警示标杆。2020 年底，美国多家政府机构和企业的网络被同一批攻击者入侵，背后真实的攻击手段是一款名为 SolarWinds Orion 的网络管理软件被植入后门（SUNBURST）。攻击者在 SolarWinds 的软件构建流程中插入恶意代码，随后通过一次官方的 “正常” 软件更新，将后门同步到数千家客户的系统中。

攻击链要点如下：
1. 获取源码仓库写权限：攻击者通过零日漏洞或内部人员渗透进入 SolarWinds 的内部开发环境。
2. 植入后门：在 Orion 的核心可执行文件中嵌入一段隐藏的 C2（Command & Control）通信模块。
3. 利用官方渠道推送更新：SolarWinds 向全球客户发布了受感染的 18.9 版本更新。
4. 隐藏通信：后门使用 DNS 隧道和 HTTP 隧道进行数据外泄，且流量伪装成正常的监管通信，难以被传统 IDS 检测。
5. 横向渗透：获取到内部网络后，攻击者继续利用 Mimikatz、Pass-the-Hash 等技术窃取凭证，最终获取对关键系统的长期控制权。

这起攻击之所以成功，根本原因在于 供应链的单点失效 与 信任链的盲目信赖。企业在采购和部署第三方软件时，往往只检查 “是否签名”，而忽视 “签名是否被滥用”、“构建过程是否安全” 等更深层次的安全维度。

“信任是一把双刃剑，既能让合作顺畅，也能让背叛致命。”——古语有云，信任需要审计与验证。

---

从案例看当下安全环境的演进：数智化、机器人化、具身智能化的冲击

截至 2026 年，企业数字化转型 已经进入 数智化、机器人化、具身智能化 的深度融合阶段。具体表现为：

1. 数智化平台：通过大数据、AI 以及业务流程自动化（RPA），实现生产、运营、营销全链路的智能决策。
2. 机器人化现场：工业机器人、协作机器人（cobot）以及无人机在车间、仓库、配送中心等场景大面积部署。
3. 具身智能化：可穿戴设备、智能工装、增强现实（AR）眼镜等“具身”终端直接嵌入员工的工作流，实时提供信息、指令与反馈。

这些技术的落地提升了效率，却也 放大了攻击面的宽度：

• AI 模型 可能被投毒（Data Poisoning），导致业务决策出现偏差；
• 机器人控制系统（PLC、SCADA）若缺乏安全加固，可能被植入恶意指令导致生产线停摆；
• 具身终端 持续收集生物特征和位置信息，一旦泄露，将对个人隐私构成极大威胁。

更值得注意的是，跨域攻击 正在成为常态。攻击者不再只盯单一的 IT 系统，而是跨越 IT 与 OT、云端与边缘、传统客户端与新型 AI/机器人终端，形成 “多点渗透、纵深破坏” 的新态势。

为什么每一位职工都是信息安全的第一道防线？

1. 人是最易被忽视的环节：无论防火墙多么强大、加密算法多么先进，若员工在钓鱼邮件上点了链接、在远程会议中泄露了密码，安全链条立刻被撕开。

   

2. 终端是攻击的入口：员工作为企业最前线的 “移动防御站”，其使用的 PC、笔记本、移动设备甚至是 AR 眼镜，都是潜在的攻击载体。
3. 安全文化决定防护效果：只有全员形成 “安全即生产力” 的认知，才能让技术手段真正发挥作用。

---

呼吁：加入信息安全意识培训，打造全员“防弹”体质

培训目标：从“知道”到“会做”，再到“内化”

1. 认识阶段：了解最新的攻击手法（如 BYOVD、供应链渗透、AI 投毒），熟悉企业内部的安全策略与合规要求。
2. 实战演练：通过模拟钓鱼、红蓝对抗、漏洞扫描等实战演练，让员工在安全沙箱中亲自体验攻击路径与防御措施。
3. 技能提升：学习密码管理、MFA 配置、安全审计日志的阅读方法，以及如何使用企业提供的安全工具（如端点检测平台、VPN 客户端硬化、容器安全扫描器）。
4. 文化沉淀：推广“安全第一”、“最小权限原则”、 “零信任思维”，让安全意识成为每天的工作习惯。

培训形式：线上+线下，理论+实践，循序渐进

• 线上微课程：每期 15 分钟的短视频，覆盖热点攻击、最佳实践、政策法规。适合碎片化学习。
• 线下工作坊：每月一次的面对面或线上直播互动，邀请行业专家分享案例，进行现场问答。
• 红蓝对抗赛：内部组织攻防演练，以小组为单位，模拟真实攻击场景，评估响应速度和处置能力。
• 安全演练演示台：在公司大厅设置 “安全体验区”，让每位员工都能亲身操作安全工具，感受防御的乐趣。

“安全不是一次性投入，而是持续的演练与改进。”——正如马拉松需要日复一日的训练，信息安全亦是如此。

激励机制：让安全变得“有趣”且“有报酬”

• 积分制：完成课程、通过测验、参与演练均可获得积分，积分可兑换公司福利、技术培训、甚至加班餐券。
• 安全之星：每季度评选 “信息安全之星”，表彰在防御、漏洞报告或安全创新方面表现突出的个人或团队。
• 内部黑客大赛：鼓励员工自行研究安全工具、提交漏洞报告，提供现金奖励或技术认证机会。

我们的承诺：让每一位员工都拥有“安全护甲”

• 技术支撑：提供最新的防病毒、EDR、DLP（数据防泄漏）工具，并确保其自动更新。
• 政策透明：公开安全事件响应流程、数据泄露报告机制，让员工知道“一旦发生”，公司会如何快速响应。
• 持续改进：每次培训结束后进行满意度调研，收集反馈，动态调整培训内容与方式。

---

行动指南：从今天起，立刻加入信息安全学习路径

1. 登录公司内部学习平台（链接已通过邮件发送），选择 “信息安全意识培训” 章节。
2. 阅读案例库：先浏览本文提到的两大案例，思考其中的漏洞点与防御失误。
3. 完成第一单元：了解 BYOVD 与供应链攻击的原理，完成随堂测验（及格即获得 10 分积分）。
4. 报名参加本周末的红蓝对抗工作坊，提前下载并安装公司提供的演练环境（虚拟机镜像），熟悉基本命令。
5. 加入安全交流群：在企业微信或 Slack 上加入 “信息安全小站”，每日获取安全小贴士，帮助同事应对 phishing、密码泄露等常见风险。
6. 提交你的第一条安全建议：无论是改进 VPN 登录方式、强化管理员权限，还是建议开启 HVCI（Hypervisor‑Protected Code Integrity），都有机会获得额外积分。

记住，安全不是高高在上的“IT 部门事”，而是每一位员工的共同责任。 当我们每个人都把安全放在心头，企业的整体防御就会从“单点防护”升级为“全网护盾”。让我们一起行动，迎接即将开启的 信息安全意识培训，为公司的数字未来筑起坚不可摧的钢铁长城！

---

昆明亭长朗然科技有限公司提供多层次的防范措施，包括网络安全、数据保护和身份验证等领域。通过专业化的产品和服务，帮助企业打造无缝的信息安全体系。感兴趣的客户欢迎联系我们进行合作讨论。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898