CVE-2025-61155 — Terminación arbitraria de procesos en GameDriverX64.sys

Un controlador anti-cheat firmado en modo kernel — GameDriverX64.sys, incluido con Tower of Fantasy (Hotta Studio / Perfect World) — permite que cualquier usuario local sin privilegios termine procesos arbitrarios, incluidos servicios de antivirus/EDR protegidos por PPL. Es el tipo de primitiva que los operadores de ransomware buscan, y está siendo activamente explotado en la naturaleza por la operación Interlock como un asesino de EDR BYOVD.

Este repositorio es un análisis completo y reproducible: el aviso de seguridad, un análisis de ingeniería inversa original con IDA Pro, una prueba de concepto y contenido de detección y mitigación listo para usar.

Investigadores: Gabriel Maciel Ramos · Anthony Sforzin · Gabriel Gomes

Demostración

Prueba de concepto que termina un proceso objetivo a través del controlador. ¿No se reproduce el reproductor integrado? Descargue el clip.

De un vistazo

La cadena de explotación

1. LoadLibrary una DLL llamada QmGUI.dll / QmGUI4.dll / gameuirender.dll
   └─ pasa la "verificación" solo por nombre de archivo en IRP_MJ_CREATE

2. CreateFile("\\.\HtAntiCheatDriver")          ← DACL predeterminada, cualquier usuario puede abrir

3. DeviceIoControl(0x222040, {0xFA123456, pid}) ← la única barrera es un magic hardcodeado

4. Driver: ZwOpenProcess(GENERIC_ALL) → ZwTerminateProcess
   └─ se ejecuta con PreviousMode == KernelMode → la comprobación de acceso se omite
   └─ mata CUALQUIER proceso, incluidos AV/EDR protegidos

Tres "salvaguardas", todas neutralizadas: el dispositivo no tiene ACL solo de administrador, la comprobación de CREATE compara una cadena de nombre de módulo (falsifíquela cargando cualquier DLL con el mismo nombre), y la barrera del IOCTL es una constante incrustada en el binario. La eliminación ocurre en el kernel, por lo que la protección de procesos (PPL) no aplica. Análisis completo en docs/01-technical-analysis.md.

Mapa del repositorio

Ingeniería inversa

El análisis en docs/01-technical-analysis.md se realizó estáticamente en IDA Pro 9.4 + Hex-Rays contra la muestra vulnerable firmada legítimamente (SHA-256 9DDAE4…3C9F1E, ver sample/SAMPLE.md). Cada dirección, constante y fragmento descompilado en este repositorio se extrajo directamente del binario y corrobora de forma independiente los informes públicos sobre las herramientas utilizadas en la naturaleza.

Defensores: empiece aquí

1. Bloquee el controlador mediante la Lista de bloqueo de controladores vulnerables de Microsoft (HVCI) y/o una regla de denegación de WDAC — docs/04-mitigation.md.
2. Busque con las reglas YARA y los IOC — detection/.
3. Detecte la explotación (aperturas de dispositivo, el IOCTL 0x222040, muertes de procesos originadas en el kernel) — docs/03-detection.md.

Aviso legal

Solo para seguridad defensiva, ingeniería de detección, educación e investigación. Use la prueba de concepto únicamente en sistemas que le pertenezcan o para los que esté autorizado a probar. Ver SECURITY.md. El binario del controlador vulnerable no se incluye intencionalmente.

Referencias

• NVD — https://nvd.nist.gov/vuln/detail/CVE-2025-61155
• MITRE / CVE.org — https://www.cve.org/CVERecord?id=CVE-2025-61155
• Aviso de GitHub — https://github.com/advisories/GHSA-9qfv-m6w2-fhch
• Aviso canónico (coautor) — https://github.com/pollotherunner/CVE-2025-61155
• FortiGuard Labs — https://www.fortinet.com/blog/threat-research/interlock-ransomware-new-techniques-same-old-tricks
• Securonix — https://connect.securonix.com/threat-research-intelligence-62/cve-2025-61155-and-interlock-ransomware-a-converging-threat-198
• Vespalec, "Tower of Flaws" — https://vespalec.com/blog/tower-of-flaws/