anylnk/ksldbyovdarkNutzt eine Schwachstelle im KSLD-Anti-Rootkit-Treiber (IOCTL 0x222044) aus, um den PPL-Schutz zu umgehen und auf sensiblen Prozessspeicher zuzugreifen, was eine lokale Privilegienausweitung auf Windows-Systemen ermöglicht.
Referenz: KslKatz und KslDump.
KslD.sys, a.k.a. MpKslDrv.sys, war einst einer der Anti-Rootkit-Tool-Treiber von Microsoft Antimaware (dazu gehören Microsoft Defender Antivirus, Windows Defender Antivirus in alten Windows-Versionen, Microsoft Security Essentials, System Center Endpoint Protection usw.)
Als ARK-Treiber erlaubt es sich selbst, mit beliebigen Dateinamen, Dienstnamen und Gerätenamen ausgeführt zu werden (Solche Konfigurationen werden in der Registry unter HKLM\SYSTEM\CurrentControlSet\Services(DriverServiceName) gespeichert), und erlaubt auch mehrere Instanzen (sogar unterschiedliche Versionen) nebeneinander zu existieren, um Blockaden durch Malware zu vermeiden.
Der Treiber mit der Version 1.1.25081.3013 prüft, ob der Benutzer mindestens Administratorrechte hat und ob es sich um den erlaubten Prozess handelt (ebenfalls in der Dienstkonfiguration gespeichert), bevor er sein Gerät öffnet. Es gibt jedoch keine weiteren Überprüfungen, ob die Konfiguration geändert wurde oder ob der IOCTL-Code von einem tatsächlichen MS-Antimalware-Prozess stammt. Dies stellt IOCTL 0x222044 lokalen Systemadministratoren zur Verfügung und gewährt ihnen Zugriff auf sensible Daten in Geschützten Prozessen (z. B. lsass.exe unter PPL-Schutz).
Wir können eine spezifische Dienstkonfiguration erstellen und den Treiber laden. Aufgrund der zuvor genannten Gründe müssen wir die bestehenden KSLD-Konfigurationen nicht ändern, sondern einen völlig neuen Dienst erstellen. Der Treiber würde unsere Projekt-EXE vertrauen und datei-/dienst-/gerätenamenbasierte Vulndrv-Schutzmaßnahmen umgehen.
Da Microsoft nicht glaubt, dass dieses Problem ihren Kriterien für eine Sicherheitslücke entspricht, werden die in dieser Offenlegung genannten Mängel möglicherweise nicht sofort behoben.
