Chiffrement

• AES-128-CBC, clé statique intégrée dans la section .data
• Clé : 62b456ec407f0a9a05911cb6f238a7fe
• IV : e59329b6d408e7fa557637e62c9eaa43
• Disposition du tampon après déchiffrement : [MD5(payload) 16B][payload]

Accès

Le pilote vérifie que le processus appelant possède une signature Authenticode Qihoo avant d'accorder l'accès au périphérique. Contourné via process hollowing :

1. Télécharger n'importe quel installeur 360 depuis 360.cn (sans compte, sans CAPTCHA)
2. Le lancer en suspension (CREATE_SUSPENDED)
3. Injecter du shellcode via CreateRemoteThread ; le shellcode appelle CreateFileW("\\.\DsArk")
4. Le pilote vérifie le nom d'image de IoGetCurrentProcess(), voit le certificat Qihoo, autorise l'ouverture
5. DuplicateHandle du résultat vers le processus attaquant
6. TerminateProcess du donneur

Le WinMain de l'installeur ne s'exécute jamais.

Prérequis

• Admin (pour le chargement du pilote et l'écriture dans le registre)
• Windows 10 / Windows 11 x64
• Package pip pycryptodome ou cryptography (pour les tests IOCTL chiffrés)

Résultats du PoC

8/8 réussis :

1. Clé de registre HKLM\...\360FsFlt\daboot=1 créée
2. Pilote chargé via sc create/start (signé WHQL, sans test-signing)
3. Périphérique ouvert via le contournement par process hollowing
4. IOCTL de version 0x80863000 a répondu
5. IOCTL de kill de processus 0x80863008 a terminé notepad.exe
6. IOCTL de vérification d'adresse noyau 0x80863020 a atteint le handler
7. IOCTL chiffré 0x80863028 crypto vérifiée (clé/IV AES corrects, MD5 accepté)
8. IOCTL inconnu 0xDEAD0000 rejeté

Hashes

Crédit

X : @weezerOSINT / Telegram : @weezer