CVE-2016-0040

CVE-2016-0040 Cet exploit s'appuie sur le projet 32Bit de SMMRootkit (https://github.com/Rootkitsmm/cve-2016-0040) qui déclenche cette vulnérabilité pour provoquer un BSoD avec des 'a' dans RCX et des 'B' dans RAX. Il a été porté sur Windows 7 SP1 64 bits et n'utilise pas l'instruction "mov [rcx+06h], rax" pour l'exploitation initiale, mais plutôt l'instruction "mov [rdx+8h], rdx" pour placer un pointeur auto-référent dans la variable pvScan0 d'un bitmap. Afin de nettoyer les corruptions d'effets secondaires, des bitmaps 4096 du tas win32k ont été alloués, rendant les adresses de corruption dans le bitmap cible prévisibles, permettant ainsi leur restauration. Pour construire les primitives de lecture/écriture, l'article de Core Security, "Abusing GDI for Ring0 Exploit Primitives" (https://www.coresecurity.com/blog/abusing-gdi-for-ring0-exploit-primitives) a été référencé, mais des bitmaps Manager et Worker ont été construits pour pouvoir effectuer le vol de jetons de processus système.