BadRentdrv2

Ein anfälliger Treiber, der von mir (BYOVD) ausgenutzt wird und in der Lage ist, mehrere EDRs und Antivirensoftware auf dem Markt zu beenden, wodurch sie unwirksam werden. Er funktioniert sowohl für x32 als auch für x64.

Wie funktioniert es?

Kompilieren Sie mit Ziel auf die Legacy-x32-Architektur für eine größere Angriffsreichweite.

In einer erhöhten Eingabeaufforderung (Administrator) verwenden Sie die folgende Befehlszeile:

BadRentdrv2.exe <PID>

Dies wird den geschützten Prozess ohne Schwierigkeiten beenden.

Hinweis: In diesem Proof of Concept habe ich es nur so programmiert, dass der Prozess anhand der PID beendet wird. Es unterstützt andere Methoden, wie das Beenden nach Prozessnamen und das Beenden des Prozesses und seiner Unterprozesse nach dem Namen des übergeordneten Prozesses. Dazu genügt eine kleine Änderung, und es wird funktionieren. Bitte lesen Sie den Proof-of-Concept-Code, um es zu verstehen.

Tests an den bekanntesten Sicherheitssystemen auf dem Markt:

360 Antivirus

Kaspersky Antivirus

Avast Antivirus

AVG Antivirus

Panda Antivirus

Windows Defender

Treiber-Hash

Ich habe die Schwachstelle veröffentlicht, weil ich das Entwicklerunternehmen nicht kontaktieren konnte, um sie zu melden.

Zeitleiste

• Kontakt #1(Keine Antwort).
• Kontakt #2(Keine Antwort).
• Mitre über den fehlenden Kontakt mit dem Unternehmen informiert und CVE ausgestellt, um Kontaktversuch zu ermöglichen.
• Kontakt #3(Letzte E-Mail mit der CVE-Nummer gesendet, mit 14 Tagen Frist für eine Antwort).
• Veröffentlicht(Keine Antwort).
• Einige Idioten von APT haben es in Malware verwendet (am selben Tag, an dem ich es veröffentlicht habe) – erklärt in einem sehr coolen Artikel des Unit42-Teams (und ihr Team hat meinen Respekt, weil sie es als Schwachstelle im Treiber untersucht und benannt haben).
• Eine Benachrichtigung wurde an das Threat Intelligence Team von Microsoft gesendet.
• Microsoft sandte eine E-Mail zurück, in der es sich für den Bericht bedankte.
• Treiber und Firmenkonto wurden vom Microsoft Threat Intelligence Team blockiert.
• Veröffentlicht in den "Microsoft recommended driver block rules".
• Ich habe die CVE nicht veröffentlicht, weil das Unternehmen nicht geantwortet hat und ich keine erzwungene Veröffentlichung vornehmen wollte.
• (24.12.2024) Ich habe Kontakt mit dem für den Treiber verantwortlichen Entwickler erhalten, der mir versicherte, dass die Schwachstelle ordnungsgemäß behoben wurde. Damit ist der verantwortungsbewusste Offenlegungsprozess abgeschlossen.

rentdrv2_x32 - 1aed62a63b4802e599bbd33162319129501d603cceeb5e1eb22fd4733b3018a3

rentdrv2_x64 - 9165d4f3036919a96b86d24b64d75d692802c7513f2b3054b20be40c212240a5