在已記錄且於實戰中活躍使用的約 90 種 EDR 殺手攻擊中，有 54 種仰賴相同的底層技術：BYOVD。攻擊者會載入一個經合法簽署但存在漏洞的內核驅動程式，並藉此獲取內核級別的存取權限。 藉此，攻擊者可在任何勒索軟體有效載荷觸發之前，終止 EDR 代理程式，或移除回調函式及 ETW（Windows 事件追蹤）提供者。這正是當前針對企業環境的攻擊者所採用的、已記錄在案的作戰手冊。
2026 年 7 月，研究人員記錄了「GodDamn」勒索軟體行動，該行動是「Hyadina」勒索軟體即服務（RaaS）組織更名後的新名稱，其會在部署有效載荷前，載入經簽名的 PoisonX 驅動程式來終止安全程序，並移除使用者模式API 。這些入侵行動採用了完整的攻擊套路：先利用 AnyDesk 進行遠端存取，接著使用基於 NirSoft 的憑證竊取工具包，最後針對美國醫療、製造業及教育機構的目標執行核心層級的進程終止。
對資安主管而言，「自帶易受攻擊驅動程式」（BYOVD）已不再是僅靠修補程式就能解決的問題。這揭示了架構層面上更深層的信任問題，與 Windows 處理簽名核心驅動程式的方式，以及基於該模型所建立的假設密切相關。任何有實質意義的因應措施，都必須從清楚理解 BYOVD 會對您所依賴的控制措施造成何種影響開始。
TL;DR 重點摘要
- ESET 的研究發現，在近 90 種已知的 EDR 殺手工具中，有 54 種使用了 BYOVD 技術，透過利用 35 種不同的易受攻擊的簽名驅動程式，以取得核心層級的存取權限
- BYOVD 讓攻擊者能在勒索軟體有效載荷執行之前，終止 EDR 程序、取消登錄核心回呼，並停用遙測功能
- 當每個層級都運行在同一個主機作業系統上時，深度防禦機制便會失效；只要單一核心遭到入侵，整個堆疊便會瞬間癱瘓
- 基於模擬技術的沙箱機制會在主機核心空間之外的隔離基礎架構上分析檔案，因此即使 EDR 代理程式已停用，也無法阻止判定結果的產生
- MetaDefender 具備 99.9% 的零日漏洞偵測效能，偵測速度是傳統沙箱的 20 倍，且資源利用率比基於虛擬機（VM）的方法高出 100 倍
- 包括 NIS2、CMMC、NERC CIP 及 IEC 62443 在內的各項規範，均要求防護能力須能在不利條件下維持運作，而單一停用 BYOVD 的控制措施無法滿足此要求
- 在一項針對現役 BYOVD 工具包的經確認分析中，在任何組件執行之前，系統便已將 VBoxDrv.sys 和 Shark.sys 判定為「惡意」，這顯示該技術目前正被積極用於針對美國目標的攻擊
何謂 BYOVD 攻擊？它如何使 EDR 失效？
這項技術本身的執行並不複雜，但其後果卻難以控制。一旦攻擊者在核心層級進行操作，行為偵測便會失效，因為偵測感測器已不復存在。EDR 的掃描與偵測組件也因同樣原因而失效，而「在最關鍵時刻，偵測工具必定存在且能正常運作」這項假設，也開始不攻自破。
根據 ESET 的資料，在該公司記錄的近 90 種 EDR 殺手工具中，有 54 種特別採用 BYOVD 技術，正是因為該技術可靠，總計濫用了 35 個存在漏洞的驅動程式。ESET 研究員雅庫布·索切克（Jakub Souček）指出，勒索軟體即服務（RaaS）的營運者經常發布新的加密程式版本，而基於 BYOVD 的殺手工具能讓他們將加密程式保持簡單且不易被偵測，同時由另一個獨立組件負責規避防禦機制。
Hyadina 集團先後採用「PoisonX」——這是一款作為研究工具發布至 GitHub 的核心驅動程式，數週後卻被用於實際的勒索軟體攻擊——此舉顯示了這類工具從概念驗證到實際部署的速度之快。「先癱瘓防禦系統，再進行加密」這項技術，已不再是僅限於高階攻擊者的專屬手段。
資安主管應就這一點所代表的意義，與董事會進行更直接的對話。EDR 雖仍是關鍵的防護措施，但將其視為最後一道防線的做法，已越來越難以站得住腳。
為何「多層次防禦」在面對 BYOVD 時會失效
「深度防禦」的原則在於，不將任何單一控制措施視為最後一道防線，且整體架構須能因應任何單一層級發生故障的情況。實際上，許多組織部署了多項端點防護工具，而這些工具皆依賴相同的基礎層：主機作業系統。若該作業系統在核心層級遭到入侵，整個防護堆疊便可能瞬間暴露於風險之中。
核心問題在於共同的攻擊面，而非部署的工具數量。具備 BYOVD 能力的攻擊者無需逐一繞過每項控制措施。只需載入並利用一個存在漏洞的驅動程式來取得核心層級執行權限，攻擊者便能在主機駐留式偵測系統來得及做出有效反應之前，解除 EDR 回調的註冊並終止代理程式。
將易受攻擊的驅動程式列入封鎖清單雖是必要步驟，但存在結構性滯後問題。 正如賽門鐵克研究員布里吉德·奧戈爾曼（Brigid O Gorman）所解釋的，從驅動程式被識別出來，到阻擋清單的更新傳遞至企業終端設備之間，通常會有數天的差距，甚至更常是數週。換言之，攻擊者的行動速度往往比清單更新更快。PoisonX 於 2026 年 4 月公開，到了 7 月便已被用於實際的勒索軟體攻擊。了解此時間差存在的攻擊者，將會持續利用這個漏洞。
要彌補這項缺口，必須進行超越 BYOVD 所針對的攻擊面範圍之外的分析：將特定類型的威脅檢測從終端移出，轉移至內核層級入侵無法觸及的隔離層，以便在檔案執行前進行評估。此時，架構層面的討論焦點便會從終端強化轉向執行前檢測。
基於模擬技術的沙箱如何分析「殺區」外的檔案
「EDR 殺手並非在智取感測器，而是直接移除感測器，而所有依賴該感測器的功能也隨之消失。」OPSWAT 資深產品經理傑克·馬丁（Jack Madine）表示。「MetaDefender 透過在檔案抵達可能被其蒙蔽的主機之前就完成分析，從而封堵了這個漏洞。」
MetaDefender 是OPSWAT 專為網路邊界零日漏洞偵測所開發的 AI 原生決策引擎，其架構基於應用程式模擬技術，而非傳統虛擬機器。這項差異與 BYOVD 直接相關，因為分析環境從不依賴其所保護的終端裝置的運作狀態。
基於虛擬機（VM）的沙箱可能被識別出其特徵。較先進的惡意軟體通常能偵測到虛擬化環境，並抑制惡意行為，導致實際上並非無害的檔案被判定為「乾淨」。虛擬機基礎架構本身也會形成新的攻擊面，讓決心已定的攻擊者得以進行探測或規避；在某些情況下，沙箱本身甚至會成為攻擊目標。
MetaDefender 五層處理流程採用了不同的方法。第一層「威脅聲譽」會即時比對 URL、IP 位址及網域，以確認其是否符合已知的入侵指標。第二層「預測性Alin AI/ML 與靜態分析」則透過機器學習模型與深度靜態分析，預測從未見過的檔案是否具有惡意，在任何程式碼執行之前即能攔截零日威脅。
第 3 層「動態分析」會在獨立的基礎架構上，於主機核心空間之外的隔離環境中，以指令層級模擬應用程式行為。第 4 層「威脅評分」會將行為指標相互關聯，並根據可信度產生風險評分；而第 5 層「威脅獵捕」則會將分析結果對應至 MITRE ATT&CK 框架，並執行機器學習相似性搜尋，以找出惡意軟體家族及攻擊活動。
在一項針對活躍中的 BYOVD EDR 殺手工具的驗證分析中，MetaDefender 在任何組件執行之前便已標記出該工具包。 一個經合法簽署的 VirtualBox 驅動程式（VBoxDrv.sys）——此為已知存在漏洞且常被濫用於內核層級權限提升的第三方廠商驅動程式——被以「惡意」判定並標記為 BYOVD，同時被標記的還有另一個惡意內核驅動程式（Shark.sys）以及用於部署這些驅動程式的載入程式（Sea.exe）。
由於該判定是透過在隔離環境中進行指令級模擬所產生的，因此無論端點代理程式在主機上是否仍處於運作狀態，該判定皆成立。這正是 BYOVD 設計用以消除的狀況。
這種分離並不意味著能實現全面防護；沒有任何單一控制措施能做到這一點。MetaDefender 具備 99.9% 的零日漏洞偵測效能，且資源效率比基於虛擬機（VM）的沙箱高出 100 倍，因此能夠提供這層檢測機制，同時避免了傳統沙箱因基礎架構開銷過高而在大規模部署時難以實際運作的問題。 其目標並非取代端點防護，而是確保當端點防護被突破時，前置防護層已然發揮作用。
為何韌性是合規義務，而非設計偏好
對於遵循 NIS2、CMMC、NERC CIP 或 IEC 62443 規範運作的組織而言，韌性不僅僅是架構上的意圖，更伴隨著明確的控制要求。這些框架要求關鍵系統即使在不利條件下，仍須維持防護能力。若某種架構中，單一「自帶防護裝置」（BYOVD）技術便足以使主要偵測控制失效，則該架構極可能無法滿足這些要求，特別是在事件發生後的審查過程中。
獨立於終端狀態運作的執行前分析，能直接滿足這些韌性要求。此分析亦能產生合規報告通常所需的相關資料：入侵指標、已識別的 TTP（戰術、技術與程序），以及風險評分——資安團隊可將這些資料提交給董事會及監管機構，作為多層次控制機制有效運作的證據。相較於那些已部署但後來遭繞過的控制措施之文件紀錄，這類證據更具說服力。
OPSWAT 獲得全球超過 2,100 家組織、政府及機構的信賴，其中包括 98% 的美國核電設施。OPSWAT 一項明確原則OPSWAT 其平台：不信任任何檔案。不信任任何裝置。™。當組織在終端裝置上放棄這項原則時，BYOVD 攻擊正是利用了這一點。
為何檢查速度決定了這項機制能否在大規模應用下行得通
若「深度防禦」會引入操作無法承受的延遲，它便僅止於理論層面。在金融服務、國防及關鍵基礎設施等高吞吐量環境中，無法將每個檔案都導向需耗時數分鐘才能得出判定結果的沙箱進行檢測。一旦檢測層成為瓶頸，團隊便會繞過它，而原本應被彌合的漏洞便會再次出現。
MetaDefender 模擬架構正是基於這項限制而建構。相較於基於虛擬機（VM）的沙箱技術，其資源需求更低，加上分析速度比傳統沙箱快 20 倍，使檢測能力得以擴展至電子郵件傳輸管道、受管檔案傳輸工作流程以及閘道檢測點等企業級檔案處理量。正是這項速度優勢，使得執行前檢測得以作為標準的營運控制措施，而非僅在發生事件後才被採用。
一種能在壓力下仍能穩健運作的安全架構，往往與僅在紙面上行得通的安全架構截然不同。利用「BYOVD」技術的威脅行為者，正是依賴於文件記載的控制措施與實際運作狀況之間的落差。透過將檢查機制置於內核層級攻擊難以觸及的層級，並以環境所需的速度執行，來彌合此落差，正是讓該架構在實務中發揮作用的關鍵。
已記錄的入侵事件已釐清了「EDR 是否可以被停用」這個問題。答案是「可以」，而且這情況確實已多次發生。剩下的問題是：在威脅有機可乘之前，該如何偵測到它？請了解MetaDefender 如何提供獨立於端點狀態運作的執行前檢查功能。
相關閱讀
MetaDefender 產品頁面
相關部落格文章：隱蔽型惡意軟體已超越傳統基於虛擬機的偵測能力
客戶案例：全球金融機構透過MetaDefender 將零日防護前移
常見問題
何謂 BYOVD 攻擊？
BYOVD（自帶易受攻擊的驅動程式，Bring Your Own Vulnerable Driver）是一種攻擊技術，攻擊者會載入一個合法且經過簽署、但存在漏洞的內核驅動程式，藉此取得 Ring 0 權限，隨後利用該權限終止 EDR 程序、停用遙測功能，並為勒索軟體有效載荷鋪平道路。
有多少款 EDR 殺手工具使用 BYOVD？
根據 ESET 的資料，在近 90 款已記錄的 EDR 殺手工具中，有 54 款仰賴 BYOVD，透過利用 35 種不同的存在漏洞的簽名驅動程式，以取得核心層級的存取權限。
將存在漏洞的驅動程式列入黑名單能否阻止 BYOVD 攻擊？
黑名單機制雖能阻擋已知的存在漏洞驅動程式，但威脅行為者會轉而使用尚未列入清單的已簽署驅動程式；此外，技術更嫻熟的攻擊者則會利用微軟及 EDR 供應商尚未察覺的驅動程式零日漏洞，完全繞過黑名單的管控機制。
為何基於虛擬機的沙箱容易遭到規避？
基於虛擬機的沙箱可能被識別出其特徵，而進階惡意軟體往往能偵測到虛擬化環境，並壓制惡意行為以產生「無害」的判定結果，即使該檔案實際上並非無害。
基於模擬技術的沙箱如何抵禦 BYOVD 攻擊？
基於模擬技術的沙箱（例如MetaDefender ）會在主機核心空間之外運行的隔離基礎架構上分析檔案。即使 BYOVD 攻擊成功停用終端裝置的 EDR 代理程式，也無法滲透至該獨立的分析環境，因此無論主機狀態如何，檔案檢查與判定結果的傳遞仍會持續進行。
執行前檢查是否取代了 EDR？
否。EDR 仍是整體架構中的一項重要控制措施。執行前檢查增添了一層防護，能在攻擊者有機會停用基於主機的控制措施之前完成其工作，藉此支援分層韌性，而非取代端點防護。
- MetaDefender Aether ,
- 威脅分析 ,
- 惡意軟體分析
