利用Windows漏洞，攻击者能降级系统组件恢复漏洞

主要观点总结

SafeBreach Labs 研究人员揭露了一种新的攻击技术，该技术能够操纵Windows 11系统更新过程，降级关键系统组件，使一些漏洞修复补丁失效。这种被称为 Windows Downdate 的技术利用了包括“ItsNotASecurityBoundary”在内的多个漏洞，允许攻击者加载未签名的内核驱动程序，并解除安全控制。对企业构成重大威胁。

关键观点总结

关键观点1: 攻击技术原理及漏洞利用

攻击者利用Windows Downdate技术，通过操纵Windows 11系统更新过程，降级关键系统组件。其中利用了“ItsNotASecurityBoundary”驱动程序签名强制（DSE）绕过等漏洞，允许攻击者加载未签名的内核驱动程序。

关键观点2: 攻击步骤和防护手段

研究人员详细描述了攻击步骤，包括如何利用不同级别的虚拟化安全（VBS）保护。同时，提出了降低风险的建议，包括及时更新系统、打上最新的安全补丁，部署端点检测和响应（EDR）解决方案，使用UEFI锁定和“强制”标志启用VBS等。

关键观点3: 对企业的威胁

这种攻击技术对企业构成重大威胁，攻击者可以对关键操作系统组件进行自定义降级，暴露已修补的漏洞，使系统容易被利用。