勒索軟件黑客一小時換 13 個工具關防毒，Symantec 指加密被攔截

勒索軟件攻擊約一小時內投放至少 13 個保安殺手

據 Symantec 2026 年 11 月 5 日發表的報告，使用 Anubis 勒索軟件的黑客 10 月攻擊一間美國機構，約一小時內投放至少 13 個用來終止保安軟件的程式，另加五個已知有漏洞但帶有合法簽署的驅動程式。Symantec 指，攻擊者最後未能加密檔案，因為加密程式在執行前已被攔截，亦沒有證據顯示有檔案被加密。

Anubis 由 Symantec 稱為 Hawkmoth 的組織開發，以「勒索軟件即服務」模式運作，即開發者把勒索軟件租給其他黑客（聯盟成員）出手。它在 2024 年 12 月由 Sphinx 勒索軟件改名而成，過去 12 個月聲稱約 96 名受害者，52% 在美國。

自製後門 Lindnor 偽裝成 Chrome 及 VMware 檔案

Symantec 在同一份報告指，入侵最先被發現的跡象是一個從未公開記錄的自製後門，Symantec 命名為 Backdoor.Lindnor。它在兩部 Microsoft SQL Server 伺服器上以服務形式運行，一部藏在仿冒 Chrome 組件的資料夾，另一部藏在 VMware 資料夾。

後門會把電腦名稱、用戶名稱、網域等資料傳回控制伺服器，並設有一部後備伺服器。Symantec 指，勒索軟件黑客甚少自製後門，多數只用公開工具；這個後門亦在另外兩個無關組織的網絡出現，但當中沒有發現勒索軟件活動。Symantec 未能確定攻擊者如何入侵。

用有漏洞的合法驅動程式關掉保安軟件

Symantec 指，攻擊者偏好「自帶有漏洞驅動程式」（BYOVD）手法：利用帶有合法簽署、但已知有漏洞的驅動程式取得系統核心權限，再關掉保安軟件。13 個程式中有 11 個從未公開，其中兩個偽裝成 Symantec 自家軟件。

除兩個程式外，其餘全部被攔截。Symantec 認為，攻擊者用這麼多工具，是逐個試直至有一個奏效。

AnyDesk 設成安全模式下照常運行

據 Brandefense 研究團隊 11 月 6 日引述 Symantec 的分析，攻擊者安裝了合法的遙距控制軟件 AnyDesk，並新增一個本機帳戶。Symantec 指，攻擊者另外執行一個工具，把 AnyDesk 登記為 Windows「安全模式（連網功能）」下獲准運行的服務。

保安軟件在安全模式下通常無法完整運作，攻擊者可藉此空檔用有漏洞的驅動程式關掉防護。Symantec 形容這不是新手法，但並不常見。

來源

• New Lindnor Backdoor and Glut of Security Killers Used in Ransomware Attack on U.S. Org（Symantec 威脅情報）
• Lindnor Backdoor and EDR Killers: A Hunt Plan in Seven Steps（Brandefense）