当前，攻击者正越来越多地把战场从应用层下沉到内核层。
原因并不复杂：内核驱动拥有最高权限，可以直接读写任意进程内存、结束安全软件进程、绕过用户态防护；而 Windows 对驱动加载的第一道门槛，是数字签名。于是，“带着合法签名做恶意的事”——BYOVD（Bring Your Own Vulnerable Driver，自带易受攻击驱动）——成为黑产手中性价比极高的武器。
本次分析的 OrayVGR.sys 正是这一趋势的典型样本：它持有有效的微软 WHQL 签名，被天穹沙箱多引擎判定为恶意驱动，样本库家族标记为 Injecto，THASH 云查置信度 100%，并关联到 13 个已知变种样本。
更值得关注的是它的“隐身术”：驱动内部没有常规的 IOCTL 攻击面，恶意逻辑全部藏在内核系统线程里；真正的载荷容器被塞进证书表的尾部。换句话说，用签名校验和 IOCTL 监控这两把传统尺子，都量不出它的恶意。
二、样本信息
|
|
|
|---|---|
|
|
OrayVGR.sys
z_driver.sys）
|
|
|
|
|
|
|
|
|
c041033fb4dc42f0c8da90e1c01b5517 |
|
|
67383562c089146316553de856b6bf4a3baab1ee |
|
|
f7703ae9a53aea278603fc064e4469255be774ca78fe710837d8b33e6aa0e738 |
|
|
D:\programs\out\z_driver2\x64\Release\z_driver.pdb |
|
|
|
|
|
Injecto
Trojan.Generic
|
第一处“反常”就藏在签名里。 报告显示：文件“有签名，签名合法”，证书链完整指向微软根证书，签发者为 Microsoft Windows Hardware Compatibility Publisher。
但再往下看：版本信息自称 z_driver Filter Driver，PDB 路径直接暴露了 z_driver2 工程目录，节区中出现可疑的 INIT 段，文件熵高达 7.97——这些特征与“正规微软驱动”格格不入。
合法签名，成了它最好的伪装。
三、攻击链拆解：四层伪装，一条闭环
3.1 第一层：伪装成 NetBT 网络组件
驱动入口 DriverEntry 完成初始化后，立即创建了一个设备对象与符号链接：
-
设备名： \Device\NetBT_Tcpip_{4B12DADF-4BDD-41FD-C12A-242DF3E12A9B} -
符号链接： \DosDevices\{E27623AA-8765-CF98-1887-87112CDE0912}
命名模仿 Windows 的 NetBT（NetBIOS over TCP/IP）网络组件，让驱动在进程与模块列表中“看起来像系统的一部分”。
这两个 GUID 并非每次运行随机生成，而是以硬编码方式固定存在。天穹沙箱在动态分析过程中捕获到了设备名的创建行为；随后，天穹智能体通过逆向解密相关字符串，确认其与静态分析结果逐字节完全一致。这一 “动态观测 + 静态验证” 的交叉比对，形成了相互印证的闭环证据链。
3.2 第二层：一个“没有 IOCTL”的恶意驱动
常规驱动分析的第一反应，是找 DeviceIoControl 分发函数和 IOCTL 码表。但 OrayVGR 把这条路堵死了。
天穹智能体分析显示，该驱动将 28 个 IRP 分发槽统一指向同一个桩函数：除 CREATE、CLOSE、CLEANUP 三类请求外，其余请求一律返回 STATUS_INVALID_DEVICE_REQUEST。由此表明，真正的恶意逻辑并不位于 IRP 分发路径中，而是在 DriverEntry 创建的内核系统线程内执行。
这解释了一个很典型的现象：如果在沙箱里只盯 IOCTL 通信，这个样本看上去“什么都没干”。
而天穹沙箱的动态行为监控记录下了另一条完整链路：
3.3 第三层：载荷藏进证书表尾部
驱动内部嵌入了一个 999,508 字节的容器。该容器既不位于 .text 节区，也不在资源段中，而是被附加在 PE 证书表中。
这一位置的选择具有明显的规避检测意图：Authenticode 的 Authentihash 计算不覆盖证书表内容，因此，修改该区域内的容器并不会改变 Authentihash，原有签名也可能继续通过验证。这使得样本能够在维持相同签名指纹的同时，持续迭代内部载荷。
PE 文件结构热力图进一步呈现了文件内部的数据分布特征，加壳与高熵区段清晰可见，静态特征与合法签名形成强烈反差。
天穹智能体通过情报检索进一步印证了这一判断：以相同 Authentihash 聚类，共命中 16 个同源驱动样本（2026-06-08 至 2026-10-13）。样本共享相同的签名指纹，但内部载荷持续演进，呈现出明显的同源同签、载荷迭代特征。
容器本身经过两层加密：外层以 XOR 0xAA + zlib 解出 key1–key6，内层再以 XOR 0x55 + zlib 还原出 rundll32 启动桩、wdscore.dll、livemod.bin 以及 x86/x64 shellcode。配置中还明确记录了渠道号 chann=z01、服务名 srvname=OrayVGR，以及下载地址 __mdu=http://chrome.jmwze[.]com/fy.dll。
3.4 落地与注入：一条完整的执行链
容器解密后，样本向磁盘释放三件套，并完成多层注入：
- 释放
： C:\Windows\Temp\rundll32.exe（伪启动器）、vminstd.tmp（聚合载荷）、wdscore.dll（侧加载 DLL）； - 注入
：向系统关键进程 services.exe注入；向rundll32.exe跨进程写入内存并恢复线程执行；向SysWOW64\svchost.exe分配 RWX 内存、写入 PE 并创建远程线程； - 驻留
：写入注册表 HKLM\SOFTWARE\Microsoft\sense = z01，创建互斥体Global\WindowsAutoUpdateInternals，并读取ImagePath等系统信息；
天穹沙箱的进程树与行为关系图，把这条链路完整串了起来：
3.5 回连与分发：C2 背后是一个 PPI 平台
网络侧，样本表现出“下载层 + 控制层”分离的结构：
- 下载层
： chrome.jmwze[.]com经 DNSPod / TDNS 视频 CDN 前置，隐藏真实回源，最终从106.225.234.155[:]80下发fy.dll； - 控制层
： ww8.win1c1.com[:]7788（45.119.4[.]220）承担探活与主机指纹上报；
天穹智能体进一步拓线发现，ww8.win1c1.com[:]7788 同时服务 Injecto、sbadur、tedy、Doina、c312999b 五个家族，共用同一套 API、GUID 与版本号，ch 字段为渠道编号（本例为 z01）。这说明它并非单一木马的专用 C2，而是一个按安装付费（PPI）的推广分发平台。
四、天穹沙箱的分析能力
4.1 内核行为监控：看见“没有 IOCTL”的恶意
该驱动没有暴露任何的 IOCTL 通信接口，天穹沙箱依然完整捕获了驱动加载、设备与符号链接创建、内核系统线程启动、临时文件释放、跨进程内存写入、远程线程创建等底层行为。
配合 ATT&CK 矩阵，样本的战术意图一目了然：
4.2 天穹智能体协同：两小时走完过去数天的路
这个样本的分析，完整跑通了天穹智能样本分析平台的多智能体流程：
- 主智能体（Orchestrator）
负责任务拆解、进度调度与结果汇总； - 沙箱分析专家
投递样本、提取动态行为与 IOC； - 逆向分析专家
通过深度逆向，还原 DriverEntry 执行流、IRP 分发语义、字符串解密算法与容器结构； - 情报分析专家
完成 IOC 拓线、同源聚类与活动归因。
四个角色通过共享黑板（Blackboard）交换上下文，中途还发生过一次有价值的“相互纠错”：沙箱侧认为设备 GUID 是运行时随机生成，逆向侧解密字符串后证明其硬编码，情报侧独立复核后确认——动态、静态、情报三方交叉验证，结论才真正可信。
4.3 从“单样本”到“整条产业链”
以驱动 Authentihash 为锚点，情报侧把一次样本分析扩展成了一次产业链测绘：
16 个同源样本：伪装名横跨 Oray 远控、网卡与声卡驱动、反作弊组件等命名域（orayvgr.sys、cet.sys、nvhda64c.sys、ace-advc.sys 等）；
签名演进：从 Verokey CA 到微软 WHQL，工程路径由 z_driver 升级为 z_driver2；
投放节奏：该样本的编译、签名与投放于同日完成，且在签名后约 4 小时即出现同源变体，整体呈现出高度自动化的流水线作业特征。
五、IOC
恶意文件（MD5）
c041033fb4dc42f0c8da90e1c01b5517 OrayVGR.sysfbd07354e3ecd632bbc9b49da0067fc5 rundll32.exe08cd6fd4210c6c75274848a1f21b210a vminstd.tmpf0ea686e874415cc719c475f8d0ce13f wdscore.dll
hxxp://chrome[.]jmwze[.]com/fy.dllww8.win1c1.com[:]778845.119.4.220[:]778845.119.4.206[:]17219106.225.234.155[:]80
报告链接
分析报告：
天穹智能分析平台（联系我们申请账号）：https://sandbox.qianxin.com