Cifrado

• AES-128-CBC, clave estática embebida en la sección .data
• Clave: 62b456ec407f0a9a05911cb6f238a7fe
• IV: e59329b6d408e7fa557637e62c9eaa43
• Diseño del búfer tras el descifrado: [MD5(payload) 16B][payload]

Acceso

El driver verifica que el proceso llamador tenga una firma Authenticode de Qihoo antes de conceder acceso al dispositivo. Se omite mediante process hollowing:

1. Descargar cualquier instalador de 360 desde 360.cn (sin cuenta, sin CAPTCHA)
2. Ejecutarlo suspendido (CREATE_SUSPENDED)
3. Inyectar shellcode mediante CreateRemoteThread; el shellcode llama a CreateFileW("\\.\DsArk")
4. El driver verifica el nombre de imagen de IoGetCurrentProcess(), ve el certificado de Qihoo, permite la apertura
5. DuplicateHandle del resultado de vuelta al proceso atacante
6. TerminateProcess del donante

El WinMain del instalador nunca se ejecuta.

Requisitos

• Administrador (para la carga del driver y la escritura en el registro)
• Windows 10 / Windows 11 x64
• Paquete pip pycryptodome o cryptography (para las pruebas de IOCTL cifrado)

Resultados del PoC

8/8 superados:

1. Clave de registro HKLM\...\360FsFlt\daboot=1 creada
2. Driver cargado mediante sc create/start (firmado por WHQL, sin test-signing)
3. Dispositivo abierto mediante el bypass de process hollowing
4. El IOCTL de versión 0x80863000 respondió
5. El IOCTL de terminación de procesos 0x80863008 terminó notepad.exe
6. El IOCTL de comprobación de dirección de kernel 0x80863020 alcanzó el handler
7. El IOCTL cifrado 0x80863028 verificó la criptografía (clave/IV AES correctos, MD5 aceptado)
8. El IOCTL desconocido 0xDEAD0000 fue rechazado

Hashes

Créditos

X: @weezerOSINT / Telegram: @weezer