深入銀狐 Part 2：失效工程：EDR 消失術

前言

在 Part 1 的最後，安裝器完成了兩個關鍵動作：執行誘餌 setup.exe 讓使用者降低警戒，並在背景啟動 men.exe 對 Windows Defender 做初步限制。Part 2 開始後，攻擊鏈的目標轉為：在第三方端點防護（EDR）仍然在線的前提下，把木馬核心落地。

本文聚焦 men.exe 如何繞過 EDR，利用內嵌壓縮檔的解密解壓、BYOVD，以及惡意驅動永久移除端點防護，並使用 DACL 提高持久性與蒐證難度。攻擊者透過分段投放與延後解密，把最敏感的載入器與驅動留到端點防護失效後才釋出，同時串接提權與 AVK，確保下一階段的核心主程式能在幾乎沒有監控阻力的狀態下落地與執行。

本文僅供防禦研究、事件應變、威脅狩獵與教育用途。文中提及之樣本與工具可能具風險，請僅在隔離、可還原且不連接生產網路之環境中測試。本文不鼓勵、協助或默許任何未經授權之行為；文中所提及之第三方平台與產品名稱僅作技術描述之用。

第二階段分析

本階段針對 men.exe 進行拆解。由於過程較長且深入，先概述這支程式做了哪些事：

1. 停止 EDR（使用 bypass.exe 與 NVIDIA.exe）
2. 執行下階段病毒
3. 讓 EDR 消失（使用 rwdriver.sys 與 main.exe）
4. 持久化與清理

men.exe 本身是相對線性的執行過程，但攻擊者為了分散惡意載荷被偵測的風險，於程式中利用檔案分段操作並呼叫多個外部執行檔，因此本次分析實際上涉及多個樣本。

初步樣本分析

在上一階段安裝器投放了 men.exe。動態執行前先用 DIE（Detect It Easy）掃描結構，可知 men.exe 為 C++ 撰寫之程式。

透過 Entropy 分析檢視檔案內容，發現其中存在一段熵值顯著偏高的區段。高熵值通常代表資料具高度隨機性，常見於加密或混淆後的內容，因此推測該區段可能為經加密或混淆處理的資源。

切換至 Extractor 檢視，發現該區段呈現 ZIP 壓縮檔特徵。對該區域資料傾印後嘗試解壓縮，系統要求輸入密碼，顯示傾印所得確實符合 ZIP 格式；綜合判斷其解壓密碼很可能被硬編碼於 men.exe 內。

（補充：某些情況下 DIE 可能誤判 Size 欄位，因此仍需透過反組譯或指令分析確認實際應傾印的區段位置與大小。）

對靜態檔案可用 Capa 檢查特徵。結果偵測到許多檔案操作與混淆技術之特徵：

進階樣本分析

透過 Ghidra、IDA Pro 或 x64dbg 等工具還原 men.exe 的實際執行邏輯。

分析顯示，men.exe 在主流程前先進行 GPU 裝置環境檢查，屬反分析機制的一部分。程式呼叫 Direct3D9 相關 API 取得系統 Adapter 資訊，據此判斷目前是否為沙箱或虛擬化環境。若符合判定條件即終止執行。此處檢測的是 Microsoft Basic Render Driver（Microsoft 內建軟體渲染器）：

• VendorId != 5140
• DeviceId != 140

類似透過 GPU 介面反分析的手法在 Checkpoint 部落格曾被提及，是存在已久但少被利用的技術。若你的虛擬機剛好符合該條件，動態分析前需先把該指令 patch 掉，否則主邏輯不會執行。

進入主邏輯後，第一步為確認工作目錄與避免重複執行：檢查 C:\Users\Public\Pictures\WindowsData\me.key 是否存在，並將其作為後續投放與持久化的固定位置。

• 若路徑不存在，表示前序 payload 尚未落地。
• 若檔案已存在，可能表示程式正被重複執行。

對於上述任一情況，程式會透過 WMI 嘗試恢復網路連線，隨後直接終止執行，以降低異常行為累積與被偵測的風險。

程式會檢查系統是否運行防毒或 EDR。若存在，擷取其映像檔路徑並加入內部字串清單。該清單不立即使用，而是在執行最後階段作為清除防護軟體的參考路徑。

防護清理模組的落地

程式從自身檔案中映射出一個大小為 0xDB307 的區段，建立為 tree.exe（壓縮格式），隨後以預設密碼解壓。此檔案與先前用 DIE 傾印出的內容相符。

以下為 tree.exe 釋出的檔案，其中 me.key 亦為壓縮檔，會在端點防護遭停用後繼續解壓：

tree.exe 釋放的檔案與功能，主要用於持久化與端點防護卸除：

• bypass.exe：提權工具，提升程式權限以便執行後續操作
• NVIDIA.exe：EDR 停止工具，降低攻擊鏈中被偵測或阻擋的風險
• X.vbe：持久化腳本
• me.key：壓縮檔，內含木馬核心程式，用於後續載入主要惡意邏輯
• Kail.exe：7z 解壓程式，此階段未被使用

隱藏提權與 BYOVD 組合拳

在此階段，men.exe 開始對 EDR 進行操作，透過 bypass.exe（提權）與 NVIDIA.exe（防毒中止）嘗試關閉 EDR 相關服務。

程式首先透過 WdcRunTaskAsInteractiveUser 以一般使用者權限啟動 bypass.exe，該程式接著利用 ICMLuaUtil 介面進行 UAC Bypass 提權，並啟動 NVIDIA.exe 執行後續的防護停止操作。

由於此呼叫流程透過系統機制間接觸發，在 EDR 的行程關聯視角中，bypass.exe 的父行程會顯示為 taskhost.exe 而非 men.exe。此設計混淆實際行程來源，增加事件追蹤與行為關聯分析的難度。

NVIDIA.exe 作為 AV Killer（AVK），藉由載入具弱點的驅動來終止端點防護。由於本樣本的 NVIDIA.exe 分析結果與外部紀錄大致相符，此處僅簡述流程，聚焦於 BYOVD 的利用方式：

ValleyRAT Exploiting BYOVD to Kill Endpoint Security — Hexastrike Cybersecurity During threat-intelligence activities, we identified a new ValleyRAT campaign distributing fake application installers…（來源：hexastrike.com）

NVIDIA.exe 會透過載入 NSecKrnl.sys（一個帶已知漏洞的合法簽章驅動）掃描主機上是否存在指定防毒或 EDR。若偵測到目標，即利用驅動漏洞取得核心權限並強制終止相關進程，使防護失效。由於驅動具合法簽章且存在漏洞，通常不易被作業系統的驅動封鎖機制攔截，此手法即為 BYOVD（Bring Your Own Vulnerable Driver）。

分析發現其 EDR 掃描清單偏向中國常見的消費級安全軟體：

• 360 系列：ZhuDongFangYu.exe、360tray.exe／360Tray.exe、360sd.exe、360rp.exe、360Safe.exe
• 金山（Kingsoft）：kxecenter.exe、kxemain.exe、kxetray.exe、kxescore.exe
• HIPS 家族：HipsMain.exe、HipsTray.exe、HipsDaemon.exe
• 騰訊 QQ（Tencent PC Manager）：QMDL.exe、QMPersonalCenter.exe、QQPCPatch.exe、QQPCRealTimeSpeedup.exe、QQPCRTP.exe、QQPCTray.exe、QQRepair.exe

由於驅動中 ZwTerminateProcess 驗證不足，任何程式皆可透過 IOCTL 0x2248E0 呼叫該函數來中止任意程序。下圖反白處即為 NVIDIA.exe 中透過 DeviceIoControl 呼叫該函數中止 EDR 行程的指令：

而 NSecKrnl.sys 驅動被呼叫時，會以 Ring 0 核心權限使用 ZwTerminateProcess 強制終止指定進程。

驅動 NSecKrnl.sys MD5：80961850786D6531F075B8A6F9A756AD

檢查 EDR 的呼吸

men.exe 執行 AVK 後會持續檢查是否仍有防毒軟體存在，用以等待 AVK 生效並確保端點防護已被關閉。當確認裝置上的 EDR 已全部停止，會透過 WMI 恢復感染裝置的網路功能。

防護停止之後的行為

後續分析發現，程式嘗試啟動 LetsPRO.exe，但本樣本並未實際投放該檔案。此名稱在過去的 ValleyRAT 載入器中曾被使用，推測樣本保留了歷史呼叫邏輯，或與先前版本具相似行為模式。

根據趨勢科技相關報告，該名稱對應的執行檔通常被用作木馬載入器。推測本次未使用可能與 log.dll 的載入流程有關，以避免程式間衝突，顯示樣本設計時考量了模組互動，選擇保留呼叫邏輯但不實際投放。

假借提供 Deepfake 脫衣、換臉、變聲工具與 VPN 軟體，駭客組織 Void Arachne 攻擊簡中用戶 駭客組織 Void Arachne 鎖定中國用戶，以簡體中文版 Chrome、LetsVPN、QuickVPN 等熱門軟體為誘餌，搭配 Deepfake 等 AI 工具，引誘用戶下載含有 Winos…（來源：trendmicro.com）

接著把 me.key 中的檔案以密碼解密，析出檔案作為 ValleyRAT 的記憶體載入器與驅動程式：

程式檢查並啟動 NtHandleCallback.exe，該程式為後續 ValleyRAT 的記憶體載入器，以 DLL 側載 log.dll 發動攻擊（下一章分析）。

持久化上，透過 COM 將 X.vbe 建立為近似系統名稱 WindowsPowerShell.WbemScripting.SWbemLocator 的登入觸發任務；使用者登入時將以管理權限執行 VBScript X.vbe。

該持久化腳本雖呈亂碼，但可透過解碼工具分析。然而解碼後仍存在錯誤，使腳本無法正常完成持久化，每次登入都會彈出錯誤視窗。後續樣本分析指出，SilverFox 已修復此問題，使持久化能在啟動時正常執行，完成 AVK 與木馬核心的持久化與自動執行。

讓 EDR 永遠消失

為了讓 EDR 防護永遠自端點移除，惡意程式透過載入惡意驅動 rwdriver.sys 與利用 main.exe 取得核心權限。觀察驅動註冊名稱與檔名，查到該驅動實為實驗性開源專案工具：

• https://github.com/NanoWraith/BlindEdr（main.exe）
• https://github.com/NanoWraith/rwdriver（rwdriver.sys）

其本質為透過驅動載入 MmCopyVirtualMemory 函數，清除核心回呼（kernel callbacks）中觸發事件時會通知的 EDR 程式清單，通常用以致盲 EDR。不過這裡的目的是防止系統呼叫指向被刪除的 EDR 程式指標導致系統崩潰。完成後直接刪除防毒端點防護檔案（一開始掃描時取得的路徑），讓 EDR 徹底消失。

一般開發驅動需開啟測試模式才能註冊與啟動，而本案載入驅動時，觀察到雖具簽章但有效日期已過期仍被載入：

這是因為根據 Windows 驅動程式簽章政策，只要符合其中之一即允許使用交叉簽章；而該簽章為 2015 年前頒發的交叉簽章，符合政策因此可被載入。這種手法在銀狐攻擊行動的多個環節都能看到。

打完，收工

程式結束時最後呼叫兩個函數，分別進行資料夾權限修改與刪除自身檔案，以防止被輕易開啟與刪除、並提高蒐證難度。

第一個函數先針對 C:\Users\Public\Pictures\WindowsData 目錄設定 Hidden 與 System 屬性，降低一般使用者透過檔案總管發現的機率。接著取得該目錄的 DACL，新增一條針對 Everyone 的 Deny ACE，拒絕 FILE_DELETE_CHILD (0x40) 並設定繼承，使目錄下子項目更難被刪除；之後再對目錄內 7 個檔案逐一新增 Deny ACE 拒絕 DELETE (0x00010000)，讓檔案本身更難被刪除。

第二個函數使用大量指令字串，透過 XOR 解密後執行。其命令除強化 X.vbe 的持久性外，還刪除本次執行過程中使用到的檔案。

最後生成 del.bat 並執行，使用 ping 延遲刪除自身，避免刪除時程式尚在執行：

@echo off
ping -n 2 127.0.0.1 >nul          & rem 延遲執行
del /f /q "C:\ProgramData\WindowsData\men.exe"   & rem 刪除 men.exe 檔案
del /f /q "%%0"                   & rem 刪除這個批次檔

到這邊，第二階段結束。下一階段將講解 NtHandleCallback.exe 如何透過白加黑與多個戰術，完成最終 ValleyRAT 核心的執行。

技術統整

men.exe 第二階段的行為橫跨反分析、偵察、提權與偽裝、防護破壞、持久化與反蒐證等多個面向，逐項與 ATT&CK 的對照見文末的 MITRE ATT&CK mapping 表。以戰術視角總覽如下：

在長期追蹤多起樣本與載入鏈的過程中，可觀察到攻擊者在工具層的更換頻率很高：BYOVD、漏洞利用、持久化與載入手段，都會隨防禦方的偵測規則與公開揭露而快速替換，甚至傾向採用剛被揭露或仍在地下的新手法，以壓縮防守方的反應時間。改以戰術視角重新審視樣本，才能在不同變種之間辨識出穩定不變的意圖與流程，即使工具與技術不斷替換，其行為結構仍會留下可觀測的痕跡。

執行鏈檔案關係圖

將第一與第二階段製成流程圖，可更直觀看到載入鏈執行過程中使用了哪些檔案（NtHandleCallback.exe 之後的部分將於下一階段說明）：

結語

本章分析攻擊者如何在規避階段系統性地移除端點防護，並把持久化、自我保護與反蒐證機制一併完成。men.exe 以 UAC bypass 串接 AVK、落地 BYOVD 驅動，在 Ring 0 終止 EDR 行程；再透過分段投放與延後解密，讓核心模組在相對安全的時間點落地；最後補上自製惡意驅動進行致盲與蒐證對抗，包括清理 kernel callbacks、以 DACL 增加刪除難度、以及自刪降低現場痕跡。

對防禦方而言，這條鏈最棘手之處在於它由多個技巧組合，形成一個為了確保下一階段成功而設計的工程化流程。若只盯著木馬本體或某項指標，往往在第一時間就已失去端點防護的可視性。

下一章我們將針對木馬核心載入器 NtHandleCallback.exe 與 log.dll 進行詳細分析，探究它如何載入更多 Rootkit 與記憶體執行，利用進階隱藏技術達成木馬核心全程不落地的執行。

樣本與參考

• 原文（Medium，OIS）：《深入銀狐 Part 2：失效工程 — EDR 消失術》
• 前一階段：深入銀狐 Part 1：載荷落地，Inno Setup 與 Pascal 的隱形載入鏈
• ValleyRAT Exploiting BYOVD to Kill Endpoint Security — Hexastrike Cybersecurity
• 趨勢科技：Void Arachne 以 Deepfake 與 VPN 工具攻擊簡中用戶
• BlindEdr / rwdriver 開源專案：https://github.com/NanoWraith/BlindEdr、https://github.com/NanoWraith/rwdriver
• Driver Signing Policy — Microsoft Learn
• MITRE ATT&CK — 技術對照依據