mein-0/kaspermeowProof-of-Concept, das eine Schwachstelle im Kaspersky-Treiber ausnutzt, um Kernel-Pointer preiszugeben und KASLR unter Windows zu umgehen, wodurch Primitiven für Kernel-Exploit-Ketten ermöglicht werden.
Der Anti-Rootkit-Monitor-Treiber von Kaspersky (arkmon.sys) speichert ein Kernel-Debug-Log, das rohe Kernel-Pointer enthält. Das Log ist mit XOR 0xCC + ROT13 „verschlüsselt" – trivial umkehrbar. Jeder Administrator-Benutzer kann dieses Log per IOCTL lesen und entschlüsseln, wodurch KASLR vollständig ausgehebelt wird.
Zum Zeitpunkt der Erstellung funktioniert der Proof of Concept auf einem vollständig gepatchten Windows 11 25H2 & Kaspersky Standard: K4W-21-26 mit den neuesten Datenbank-Updates.
Was bekommen wir also? Das entschlüsselte Log enthält mehrere Kernel-Space-Adressen (0xFFFF...), Treiber-Basen, Kernel-Objekt-Pointer und interne Offsets. Diese heben KASLR auf und können als Grundlage für Kernel-Exploit-Ketten verwendet werden.
gcc -o poc.exe poc.c
poc.exe
Erfordert Administratorrechte. Kaspersky muss installiert sein und ausgeführt werden.
