Reynolds勒索软件通过嵌入BYOVD禁用EDR清静工具

宣布时间 2026-02-12

1. Reynolds勒索软件通过嵌入BYOVD禁用EDR清静工具


2月10日，，，，网络清静研究职员披露新型勒索软件Reynolds，，，，其载荷内嵌BYOVD（自带误差驱动）组件，，，，直接集成保存误差的NsecSoft NSecKrnl驱动（CVE-2025-68947），，，，在安排时终止Avast、CrowdStrike Falcon、Cortex XDR等多款清静软件历程，，，，实现防御规避。。。。。 。该手艺并非首创，，，，此前Ryuk、Obscura及Silver Fox组织均接纳类似手法，，，，使用正当驱动误差关闭清静工具后投放恶意载荷。。。。。 。行业数据显示，，，，2025年勒索软件宣称攻击达4737起，，，，较2024年微增；；；仅窃取数据施压的攻击达6182起，，，，同比激增23%。。。。。 。第四序度平均赎金支付额达59.1万美元，，，，环比暴涨57%，，，，主因是高额息争案频发。。。。。 。勒索软件目的正从外地装备转向云存储，，，，如AWS S3桶，，，，通过云原生功效删除、笼罩数据或窃取敏感内容。。。。。 。


https://thehackernews.com/2026/02/reynolds-ransomware-embeds-byovd-driver.html


2. 微软市肆Outlook AgreeTo加载项遭挟制


2月11日，，，，克日，，，，微软官方应用市肆中的Outlook AgreeTo加载项被曝遭挟制，，，，演变为网络垂纶工具包，，，，已窃取超4000个Microsoft账户凭证、信用卡号及银行清静验证谜底。。。。。 。该插件原为正当聚会安排工具，，，，由自力开发者于2022年12月提交至Microsoft Office加载项市肆，，，，使用Vercel托管URL。。。。。 。只管开发者后续放弃项目，，，，但插件仍被微软市肆保存，，，，威胁行为者趁机接受其伶仃URL，，，，植入垂纶� ？？？？？？�。。。。。 。据供应链清静公司Koi Security研究职员披露，，，，攻击者安排了伪造的微软登录页面、密码网络表单及数据泄露剧本。。。。。 。用户通过Outlook翻开该插件时，，，，会显示侧边栏中的假登录界面，，，，诱骗输入账户信息。。。。。 。输入的凭证将通过Telegram机械人API泄露至攻击者，，，，受害者则被重定向至真实微软登录页以降低嫌疑。。。。。 。值得注重的是，，，，插件上架后无需特殊验证流程，，，，微软仅在提交时审核清单文件并签字批准。。。。。 。AgreeTo曾通过审核，，，，其所有资源均从开发者效劳器加载，，，，而该效劳器现已被攻击者控制。。。。。 。


https://www.bleepingcomputer.com/news/security/microsoft-store-outlook-add-in-hijacked-to-steal-4-000-microsoft-accounts/


3. LummaStealer借CastleLoader与ClickFix手艺卷土重来


2月11日，，，，网络清静公司Bitdefender最新报告指出，，，，信息窃取恶意软件LummaStealer自2025年7月恢复运营后，，，，于2025年12月至2026年1月时代熏染量显著激增。。。。。 。此次扩散主要依赖名为CastleLoader的恶意软件加载器及ClickFix手艺撒播链，，，，形成多阶段攻击系统。。。。。 。LummaStealer作为恶意软件即效劳（MaaS）平台，，，，曾于2025年5月被多国执法部分查封，，，，摧毁2300个域名及中央指挥结构。。。。。 。然而，，，，其运营方通过CastleLoader实现快速苏醒。。。。。 。CastleLoader接纳� ？？？？？？榛诖嬷葱心Ｗ�，，，，连系多层混淆手艺，，，，可在内存中解密并加载LummaStealer有用载荷。。。。。 。其无邪的下令与控制（C2）通讯机制及沙箱检测能力，，，，使其能规避清静剖析并调解长期化战略，，，，通过复制AutoIT剧本至特定路径、安排诠释器及建设Internet快捷方法实现开机自启动。。。。。 。撒播路径方面，，，，CastleLoader通过ClickFix手艺实验社会工程攻击：用户被诱导至虚伪验证码页面，，，，执行剪贴板中预设的恶意PowerShell下令，，，，最终从攻击者效劳器下载并执行CastleLoader，，，，进而加载LummaStealer。。。。。 。


https://www.bleepingcomputer.com/news/security/lummastealer-infections-surge-after-castleloader-malware-campaigns/


4. ApolloMD遭网络攻击致62.6万患者信息泄露


2月12日，，，，美国佐治亚州着名医疗保健公司ApolloMD克日披露，，，，其2025年遭遇网络攻击导致626,540名患者敏感信息泄露，，，，成为美国医疗行业又一起重大数据清静事务。。。。。 。ApolloMD是一家为全美100余家医院提供多专科医生效劳的医疗集团，，，，在18个州运营超125家诊所，，，，年接诊量约400万人次。。。。。 。凭证美国卫生与公众效劳部最新文件，，，，该公司于2025年5月22日至23日时代遭遇黑客入侵，，，，系统被不法会见并窃取了大宗患者数据。。。。。 。泄露信息涵盖姓名、出生日期、地点、诊断纪录、就诊日期、治疗计划、康健包管数据及社会包管号码等高度敏感内容。。。。。 。值得注重的是，，，，ApolloMD虽在2025年9月即通知受害者数据泄露事务，，，，但直至2026年2月10日才向联邦羁系机构完整披露受影响人数。。。。。 。此次事务中，，，，麒麟勒索软件团伙于2025年6月果真宣称对攻击认真。。。。。 。


https://therecord.media/georgia-healthcare-company-data-breach-impacts-620000


5. Crazy勒索软件团伙滥用正当监控工具实验攻击


2月11日，，，，Huntress研究职员发明，，，，Crazy勒索软件团伙成员正通过滥用Net Monitor for Employees Professional和SimpleHelp等正当远程治理工具，，，，在企业网络中建设长期性会见并规避检测。。。。。 。该团伙在多起攻击事务中，，，，使用Windows Installer工具msiexec.exe从开发者网站直接安排监控署理，，，，实现远程桌面审查、文件传输和下令执行等完全交互式会见权限。。。。。 。攻击者通过执行下令启用外地治理员账户，，，，并通过PowerShell下载伪装成Visual Studio vshost.exe的SimpleHelp客户端，，，，安排OneDriveSvc.exe等伪装文件，，，，形成冗余长期性机制，，，，纵然员工监控工具被移除，，，，仍可通过SimpleHelp坚持远程会见。。。。。 。该团伙还通过设置监控规则，，，，在装备会见加密钱币钱包或远程治理工具时触发警报，，，，为安排勒索软件和加密钱币偷窃做准备。。。。。 。日志显示，，，，攻击署理一连监控区块链浏览器（Etherscan）、生意所（Binance）及支付平台（Payoneer）相关要害字，，，，并检测远程会见工具活动，，，，形成多维监控系统。。。。。 。


https://www.bleepingcomputer.com/news/security/crazy-ransomware-gang-abuses-employee-monitoring-tool-in-attacks/


6. Windows新型攻击：社工入口+Python后门恒久控制


2月9日，，，，克日，，，，清静研究职员忠言企业需提防一种针对Windows情形的新型网络攻击活动，，，，其焦点特征是“入侵只是最先而非竣事”，，，，攻击者通过社会工程手段建设初始会见后，，，，使用Python工具、多后门及凭证窃取实现恒久控制并横向渗透。。。。。 。该攻击以“ClickFix式”社会工程为起点，，，，通过伪造过失新闻或虚伪IT提醒诱骗员工执行“Windows+R”下令输入恶意指令，，，，看似例行操作实则为攻击者翻开后门。。。。。 。微软纪录的“CrashFix”战略与此相关，，，，但ARC Labs发明此次攻击更重大，，，，攻击者安排Python驱动的后门及反射型DLL植入程序，，，，通过Windows原生工具和PowerShell协调活动，，，，阻止使用自界说二进制文件，，，，降低被检测危害。。。。。 。攻击的要害在于长期化与扩展会见。。。。。 。ARC Labs剖析显示，，，，攻击者同时安排多个自力植入程序，，，，并接纳“反射加载DLL后门”设计，，，，纵然简单起径袒露仍可维持会见。。。。。 。这种分层工具战略模糊了剧本滥用与古板恶意软件的界线，，，，增添了扫除难度。。。。。 。入侵后，，，，攻击从自动化转为操作员直接加入，，，，攻击者绘制网络拓扑、识别高价值系统，，，，通过横向移动使用被盗凭证举行身份验证，，，，目的直指身份基础设施。。。。。 。


https://cybernews.com/security/click-fix-access-broker-campaign-windows-python/