CVE-2025-61155 — إنهاء تعسفي للعمليات في GameDriverX64.sys

برنامج تشغيل مضاد للغش في وضع النواة موقّع — GameDriverX64.sys، يتم شحنه مع Tower of Fantasy (Hotta Studio / Perfect World) — يسمح لأي مستخدم محلي غير مميز بإنهاء عمليات عشوائية، بما في ذلك خدمات مكافحة الفيروسات/EDR المحمية بـ PPL. إنه النوع من البدائيات التي يبحث عنها مشغلو برامج الفدية، ويتم استغلاله بنشاط في البرية بواسطة عملية Interlock كقاتل EDR عبر BYOVD.

هذا المستودع هو تحليل كامل وقابل للتكرار: الإفادة الأمنية، تحليل هندسة عكسية أصلي باستخدام IDA Pro، برهان مفهوم، ومحتوى جاهز للكشف والتخفيف.

الباحثون: Gabriel Maciel Ramos · Anthony Sforzin · Gabriel Gomes

عرض توضيحي

برهان مفهوم لإنهاء عملية مستهدفة عبر برنامج التشغيل. مشغل مضمن لا يعمل؟ تحميل المقطع.

نظرة سريعة

سلسلة الاستغلال

1. LoadLibrary DLL باسم QmGUI.dll / QmGUI4.dll / gameuirender.dll
   └─ يمرر "التحقق" الخاص باسم الملف فقط في IRP_MJ_CREATE

2. CreateFile("\\.\HtAntiCheatDriver")          ← DACL افتراضي، يمكن لأي مستخدم فتحه

3. DeviceIoControl(0x222040, {0xFA123456, pid}) ← البوابة الوحيدة هي قيمة سحرية ثابتة

4. Driver: ZwOpenProcess(GENERIC_ALL) → ZwTerminateProcess
   └─ يعمل مع PreviousMode == KernelMode → تخطي فحص الوصول
   └─ يقتل أي عملية، بما في ذلك AV/EDR المحمي

ثلاثة حواجز، جميعها تم تجاوزها: الجهاز ليس لديه ACL خاص بالمسؤولين، فحص CREATE يقارن سلسلة اسم الوحدة (قم بتزويرها عن طريق تحميل أي DLL بنفس الاسم)، وبوابة IOCTL هي ثابت مخبوز داخل الثنائي. ثم يتم القتل في النواة، لذا فإن حماية العملية (PPL) لا تنطبق. الشرح الكامل في docs/01-technical-analysis.md.

خريطة المستودع

الهندسة العكسية

التحليل في docs/01-technical-analysis.md تم إنتاجه بشكل ثابت في IDA Pro 9.4 + Hex-Rays ضد العينة الضعيفة الموقعة بشكل شرعي (SHA-256 9DDAE4…3C9F1E، انظر sample/SAMPLE.md). كل عنوان وثابت ومقطع مفكوك في هذا المستودع مأخوذ مباشرة من الثنائي ويؤكد بشكل مستقل التقارير العامة حول الأدوات المستخدمة في البرية.

للمدافعين: ابدأ من هنا

1. احظر برنامج التشغيل عبر قائمة حظر برامج التشغيل الضعيفة من Microsoft (HVCI) و/أو قاعدة رفض WDAC — docs/04-mitigation.md.
2. اصطد باستخدام قواعد YARA ومؤشرات الاختراق — detection/.
3. اكتشف الاستغلال (فتح الجهاز، IOCTL 0x222040، إنهاء العمليات من أصل النواة) — docs/03-detection.md.

إخلاء مسؤولية

للاستخدام في الأمن الدفاعي، هندسة الكشف، التعليم والبحث فقط. استخدم برهان المفهوم فقط على الأنظمة التي تمتلكها أو المصرح لك باختبارها. انظر SECURITY.md. تم عمدًا عدم تضمين الثنائي الضعيف.

المراجع

• NVD — https://nvd.nist.gov/vuln/detail/CVE-2025-61155
• MITRE / CVE.org — https://www.cve.org/CVERecord?id=CVE-2025-61155
• إفادة GitHub — https://github.com/advisories/GHSA-9qfv-m6w2-fhch
• إفادة Canonical (مؤلف مشارك) — https://github.com/pollotherunner/CVE-2025-61155
• FortiGuard Labs — https://www.fortinet.com/blog/threat-research/interlock-ransomware-new-techniques-same-old-tricks
• Securonix — https://connect.securonix.com/threat-research-intelligence-62/cve-2025-61155-and-interlock-ransomware-a-converging-threat-198
• Vespalec، "Tower of Flaws" — https://vespalec.com/blog/tower-of-flaws/