趨勢科技發現勒索軟件演員濫用 Genshin Impact 反作弊驅動程序來殺死殺毒軟件

[Constantping]

https://www.trendmicro.com/en_us/research/22/h/ransomware-actor-abuses-genshin-impact-anti-cheat-driver-to-kill-antivirus.html

[LinePro]

好像有人研究过调用这个驱动是需要管理员权限的。勒索软件已经启动并且有管理员权限了那它即使不用 mhyprot2.sys 应该也可以加载其他的驱动吧。个人认为杀毒软件应该要在勒索软件运行并加载调用驱动之前就拦截住。

[fuzzsh]

@LinePro 这个是没作限制任意调用，从而杀死其它进程，其它的调用要用特定方式

[LinePro]

@fuzzsh #2 没有检查调用方确实不太好。不过感觉上增加限制无非就是增加勒索软件开发绕过限制的工作量？所以还是得从源头解决，拦截运行。

[ztmzzz]

没了这个驱动还有一大堆有漏洞的驱动，例如 intel 的某个网卡驱动，都可以实现