1. 项目背景与核心问题

最近安全圈曝出一个令人不安的攻击手法：黑客组织利用游戏反作弊驱动的0day漏洞，成功绕过多家主流终端防护产品（EDR/AV）的防御机制。这个编号为CVE-2025-61155的漏洞存在于GameDriverx64.sys驱动文件中，攻击者通过精心构造的恶意载荷，不仅能完全关闭防护软件，还能实施双重勒索攻击。

我在分析样本时发现，这个被命名为"Interlock"的攻击框架具有极强的针对性。它不像传统恶意软件那样广撒网，而是专门盯着安装了特定游戏反作弊系统的设备下手。更棘手的是，攻击者会先利用漏洞静默关闭防护，再部署勒索软件，等用户发现时为时已晚。

2. 技术原理深度解析

2.1 漏洞触发机制

GameDriverx64.sys驱动在处理IOCTL请求时存在缓冲区溢出漏洞。正常情况下，这个驱动用于反作弊系统检测游戏内存修改行为。但攻击者发现，当发送特定参数组合的IOCTL请求时，可以触发以下连锁反应：

1. 驱动未校验输入缓冲区大小
2. 内核态栈空间被精心构造的shellcode覆盖
3. 通过ROP链获取系统令牌
4. 最终实现任意代码执行

我在虚拟机环境测试时，用WinDbg捕捉到崩溃现场：

DRIVER_OVERRAN_STACK_BUFFER (f7) An overrun of a stack-based buffer has been detected... FAILURE_BUCKET_ID: 0xF7_Gamedriverx64!Unknown+0x11c4

2.2 EDR/AV绕过原理

传统终端防护软件依赖以下几个防护层：

• 进程行为监控
• 内核回调挂钩
• 内存扫描
• 网络流量检测

Interlock攻击链的巧妙之处在于：

1. 首先利用驱动漏洞获取内核最高权限
2. 通过内存补丁技术禁用EDR的内核回调（如PsSetLoadImageNotifyRoutine）
3. 篡改ETW（Event Tracing for Windows）日志记录
4. 最后才加载勒索软件主体

实测某主流EDR产品被攻击后的状态：

sc query "EDRService" # 显示RUNNING但实际防护已失效

3. 防御方案设计与实施

3.1 临时缓解措施

根据微软安全响应中心建议，可立即采取以下措施：

1. 禁用游戏反作弊驱动（需管理员权限）：

sc stop GameDriverx64 sc config GameDriverx64 start= disabled

2. 应用驱动黑名单策略：

<DeviceConfiguration> <DriverLoadPolicy>BlockList</DriverLoadPolicy> <BlockList> <Driver Name="GameDriverx64.sys" /> </BlockList> </DeviceConfiguration>

3.2 长期防护架构

建议采用分层防御策略：

4. 事件响应操作手册

4.1 入侵指标(IoC)检测

# 检查异常驱动加载 Get-WinEvent -FilterHashtable @{ LogName='System' ID=7045 } | Where-Object {$_.Message -match 'GameDriverx64'} # 内存扫描特征码 $MemoryScan = @{ "Interlock" = "48 8B 05 ?? ?? ?? ?? 48 85 C0 74 ?? 80 78 08 00" "Payload" = "55 48 89 E5 48 83 EC 20 48 89 4D 10 48 89 55 18" }

4.2 应急处理流程

1. 立即隔离受感染主机
2. 收集以下取证数据：
   • 内存转储（使用Belkasoft RAM Capturer）
   • $MFT文件副本
   • Prefetch目录备份
3. 不要直接关闭进程，可能导致加密中断
4. 联系专业安全团队处理

5. 防护体系加固建议

5.1 驱动安全基线配置

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Kernel] "ObCaseInsensitive"=dword:00000000 "DisableExceptionChainValidation"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard] "EnableVirtualizationBasedSecurity"=dword:00000001 "RequireMicrosoftSignedBootChain"=dword:00000001

5.2 企业级防护方案

对于关键业务系统，建议部署：

1. 硬件级内存保护（如Intel CET）
2. 动态证书撤销检查
3. 带外监控系统（BMC日志分析）
4. 网络微隔离策略

我在金融客户环境实施时，通过以下组合拳成功拦截类似攻击：

• 赛门铁克EPP的驱动加载控制
• 微软ATP的异常行为检测
• 自定义的PowerShell审计脚本库

6. 漏洞修复进展追踪

截至发稿时，各厂商应对状态：

建议通过以下命令验证补丁安装：

Get-HotFix -Id KB5036893 Get-FileHash "C:\Windows\System32\drivers\GameDriverx64.sys"

这个案例再次证明，现代攻击链往往从最意想不到的薄弱环节突破。安全团队需要特别关注那些具有内核权限的第三方组件，它们可能成为整个防御体系中最危险的一环。我在客户现场部署的驱动白名单方案，虽然会增加一些管理成本，但能有效阻断此类供应链攻击。