BadRentdrv2

Un driver vulnerable explotado por mí (BYOVD) que es capaz de terminar varios EDRs y software antivirus en el mercado, volviéndolos ineficaces, funcionando tanto para x32 como para x64.

¿Cómo funciona?

Compile apuntando a la arquitectura x32 heredada para un rango de ataque más amplio.

En un símbolo del sistema elevado (Administrador), use la siguiente línea de comandos:

BadRentdrv2.exe <PID>

Esto terminará el proceso protegido sin ninguna dificultad.

Nota: En esta prueba de concepto, solo lo he programado para terminar el proceso usando el PID. Soporta otros métodos como terminar por el nombre del proceso y terminar el proceso y sus procesos hijos por el nombre del proceso padre. Para hacer esto, simplemente haga una pequeña modificación y funcionará. Lea el código de la prueba de concepto para entender.

Pruebas en los sistemas de seguridad más conocidos del mercado:

360 Antivirus

Kaspersky Antivirus

Avast Antivirus

AVG Antivirus

Panda Antivirus

Windows Defender

Hash del Driver

Publiqué la vulnerabilidad porque no pude contactar a la empresa desarrolladora para reportarla.

Cronología

• Contacto #1 (Sin respuesta).
• Contacto #2 (Sin respuesta).
• Notificado a Mitre sobre la falta de contacto con la empresa y se emitió el CVE para intentar el contacto.
• Contacto #3 (Envié un último correo electrónico con el número de CVE, con 14 días para responder).
• Publicado (Sin respuesta).
• Algunos idiotas de APT lo usaron en malware (el mismo día que lo publiqué) - Explicado en un artículo muy interesante de Unit42-Team (y su equipo tiene mi respeto porque investigaron y lo señalaron como una vulnerabilidad en el driver también).
• Se envió una notificación al equipo de inteligencia de amenazas de Microsoft.
• Microsoft respondió con un correo electrónico agradeciendo el informe.
• El driver y la cuenta de la empresa fueron bloqueados por el equipo de inteligencia de amenazas de Microsoft.
• Publicado en las "reglas de bloqueo de drivers recomendadas por Microsoft".
• No publiqué el CVE porque la empresa no me respondió y no me gusta forzar la publicación.
• (24/12/2024) Recibí contacto del desarrollador responsable del driver, quien me aseguró que la vulnerabilidad ha sido correctamente corregida. Esto concluye así el proceso de divulgación pública responsable.

rentdrv2_x32 - 1aed62a63b4802e599bbd33162319129501d603cceeb5e1eb22fd4733b3018a3

rentdrv2_x64 - 9165d4f3036919a96b86d24b64d75d692802c7513f2b3054b20be40c212240a5