微軟發現Paragon分區管理程序的BioNTdrv.sys驅動存在五個漏洞，其中有一個已被勒索軟件團伙用于零日攻擊，以獲取Windows系統的SYSTEM權限。這些易受攻擊的驅動程序在“自帶漏洞驅動程序”（BYOVD）攻擊中被利用，攻擊者將內核驅動程序植入目標系統以提升權限。

BYOVD攻擊原理與影響

BYOVD攻擊的核心在于攻擊者可以利用本地設備訪問權限，通過漏洞提升權限或導致目標機器拒絕服務（DoS）。CERT/CC的警告指出：“攻擊者可以借助微軟簽名的驅動程序，即使目標系統未安裝Paragon分區管理程序，也能通過BYOVD技術實施攻擊。”

由于BioNTdrv.sys是一款內核級驅動程序，攻擊者可以利用漏洞執行與驅動程序相同權限的命令，從而繞過防護措施和安全軟件。微軟研究人員發現，其中一個漏洞CVE-2025-0289已被勒索軟件團伙用于攻擊，盡管具體團伙尚未披露。

CERT/CC公告稱：“微軟觀察到威脅行為體在BYOVD勒索軟件攻擊中利用這一弱點，特別是通過CVE-2025-0289實現權限提升至SYSTEM級別，隨后執行進一步的惡意代碼。”Paragon Software已經修復了這些漏洞，微軟也通過“漏洞驅動程序阻止列表”阻止了易受攻擊的BioNTdrv.sys版本。

漏洞詳情與修復建議

微軟發現的Paragon分區管理程序漏洞包括：

• CVE-2025-0288：由于“memmove”函數處理不當導致的任意內核內存寫入，使攻擊者能夠寫入內核內存并提升權限。
• CVE-2025-0287：由于輸入緩沖區中的“MasterLrp”結構缺少驗證而導致的空指針解引用，使攻擊者能夠執行任意內核代碼。
• CVE-2025-0286：由于用戶提供的數據長度驗證不當導致的任意內核內存寫入，使攻擊者能夠執行任意代碼。
• CVE-2025-0285：由于未驗證用戶提供的數據導致的任意內核內存映射，使攻擊者能夠通過操縱內核內存映射提升權限。
• CVE-2025-0289：由于在將“MappedSystemVa”指針傳遞給“HalReturnToFirmware”之前未進行驗證而導致的內核資源訪問不安全，可能導致系統資源被破壞。

前四個漏洞影響Paragon分區管理程序7.9.1及更早版本，而正在被利用的漏洞CVE-2025-0289影響版本17及更早版本。建議用戶升級到最新版本，其中包含修復所有漏洞的BioNTdrv.sys 2.0.0版本。

防護措施與建議

值得注意的是，即使未安裝Paragon分區管理程序的用戶也無法幸免于攻擊，因為BYOVD攻擊并不依賴于目標機器上是否存在該軟件。攻擊者會將易受攻擊的驅動程序與自己的工具一同植入，從而將其加載到Windows系統中以提升權限。

微軟已更新“漏洞驅動程序阻止列表”以阻止該驅動程序在Windows中加載。用戶和組織應確保啟用該防護系統。您可以通過以下路徑檢查是否啟用了阻止列表：設置→ 隱私與安全→ Windows安全中心→ 設備安全→ 核心隔離→ 微軟漏洞驅動程序阻止列表，并確保該設置已啟用。

Windows設置中的漏洞驅動程序阻止列表來源：BleepingComputer

Paragon Software的網站也發布警告，提醒用戶必須立即升級Paragon硬盤管理器，因為它使用了相同的驅動程序，而該驅動程序將被微軟阻止。

盡管目前尚不清楚哪些勒索軟件團伙在利用Paragon漏洞，但BYOVD攻擊已越來越受網絡犯罪分子歡迎，因為它使他們能夠輕松獲取Windows設備的SYSTEM權限。已知使用BYOVD攻擊的威脅行為體包括Scattered Spider、Lazarus、BlackByte勒索軟件、LockBit勒索軟件等。

因此，啟用微軟漏洞驅動程序阻止列表功能以阻止易受攻擊的驅動程序在Windows設備上使用顯得尤為重要。