.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
我們將在本文討論攻擊者在其攻擊中是否選擇內核級訪問的原因。 Windows內核威脅長期以來一直受到攻擊者的青睞，因為它可以讓攻擊者獲得高特權訪問和檢測規避能力。時至今日，這些難以消除的威脅仍然是惡意活動攻擊鏈的關鍵組成部分。事實上，SentinelOne最近發現攻擊者濫用Microsoft簽名的驅動程序，對電信、業務流程外包（BPO）、託管安全服務提供商（MSSP）和金融服務行業的組織進行有針對性的攻擊。本月，SophosLabs還報告稱，他們發現了一個加密簽名的Windows驅動程序和一個可執行的加載器應用程序，該應用程序可以終止目標設備上的端點安全進程和服務。
我們將在2023年1月發布的研究論文“深入了解Windows內核威脅”中對值得關注的Windows內核威脅的狀態進行了更全面的分析。
追求內核級訪問的利弊對於攻擊者來說，不受限制地訪問內核是他們攻擊的最佳選擇。他們不僅能夠在內核級別執行惡意代碼，而且還能夠破壞受害者的安全防禦而不被發現。然而，需要注意的是，開發內核級rootkit和其他低級威脅也有其自身的缺點。
有利的一面：獲得對系統資源的高度特權訪問；
隱藏設備上的惡意活動，使檢測和響應活動更加困難；
保護惡意工件免受正常系統過濾過程的影響；
執行可以長時間繞過檢測的隱形操作；
從第三方防病毒產品獲得繼承的信任；
篡改多用戶模式應用程序所依賴的核心服務數據流；
篡改阻礙惡意活動的第三方安全產品；
實現非常低的檢測率，目前大多數現代rootkit在很長一段時間內都沒有被發現。
不利的一面：開發這些威脅可能代價高昂；
與其他用戶模式應用程序惡意軟件類型相比，開發和實現內核rootkit更加困難，這並不能使它們成為大多數攻擊的理想威脅；
內核rootkit的開發需要高素質的內核模式開發人員，他們了解目標操作系統的內部組件，並在逆向工程系統組件方面具有足夠的能力。
由於內核rootkit對錯誤更敏感，如果內核模塊中的代碼錯誤導致系統崩潰並觸發藍屏死亡（BSOD），它們可能會暴露整個操作。
如果受害者的安全機制已經失效或可以通過更簡單的技術消除，那麼引入內核模式組件將使攻擊變得複雜，而不是支持攻擊。
內核威脅有多普遍？我們分析了完全依賴內核驅動程序組件或在其攻擊鏈中至少有一個模塊在內核空間中執行的各種威脅。
在我們的研究中，我們根據可觀察到的技術將內核級威脅分為三個集群：
集群1：繞過內核模式代碼簽名（KMCS）策略的威脅；
集群2：使用合法的創建自己的驅動程序技術符合KMCS的威脅；
集群3：轉移到較低抽象層的威脅；
根據我們的觀察，過去七年中公開報導的值得關注的威脅和其他重大事件的數量從2018年開始呈現穩步上升的趨勢。
2015年4月至2022年10月包含內核級威脅的公共情報報告數量
目前，影響Windows內核的最大數量的內核威脅仍然屬於第一個集群。在Windows 10引入的新的基於管理程序的防禦解決方案的採用率提高之前，該集群中的威脅數量預計會增加。隨著採用率的增長，預計首批集群威脅的數量將大幅減少。
2015年4月至2022年10月，三個集群的內核級威脅分佈情況
然而，數據顯示，在過去三年中，屬於第二和第三集群的威脅數量一直在增加。
2015年4月至2022年10月按集群分類的內核級威脅
由於開發成本較高，第二集群威脅不太常見。儘管在過去五年中，第二個集群威脅的數量有所增加，但由於Windows 10和11中的KMCS策略，預計會減少並最終停止。同時，屬於第三個集群的威脅是最不常見的，因為它們的複雜性。我們認為，隨著攻擊者將其最初的感染點提前轉移到逃避現代安全機制的過程中，第三集群威脅將在未來幾年緩慢增加。
我們還根據這些威脅的具體用例對其進行了分類。
2015年4月至2022年10月使用內核級惡意軟件的威脅類型
根據我們的分析，APT間諜惡意軟件在攻擊中使用的內核級組件最多。 APT組織以擁有資源在攻擊中使用隱秘組件(如內核rootkit和較低級別的植入)而聞名。
勒索軟件和加密貨幣挖礦威脅也在其攻擊中使用了大量內核級組件，這很可能避免被安全產品檢測到，因為它們會是否惡意有效負載並從受害者設備上竊取資源。
總結根據我們對內核級威脅數據的分析，高級和成熟的惡意行為者仍然並將繼續尋求對Windows操作系統的高權限訪問，以確保他們的攻擊被成功部署。由於端點保護平台(EPP)和端點檢測和響應(EDR)技術的有效性，攻擊者將遵循阻力最小的路徑，並讓他們的惡意代碼從內核或更低的級別運行。這就是為什麼，儘管屬於這三個集群的一些內核級威脅顯著減少，但我們相信低級別的威脅在未來不會完全過時。
另外，請關注我們將於2023年1月發布的研究文章《深入了解Windows内核威胁》 中對Windows內核威脅的全面分析。