BadRentdrv2

Un pilote vulnérable que j'ai exploité (BYOVD) capable de neutraliser plusieurs EDR et logiciels antivirus du marché, les rendant inefficaces, fonctionnant à la fois pour x32 et x64.

Comment ça marche ?

Compilez en ciblant l'ancienne architecture x32 pour une plus large gamme d'attaque.

Dans une invite de commandes élevée (Admin), utilisez la ligne de commande suivante :

BadRentdrv2.exe <PID>

Cela terminera le processus protégé sans aucune difficulté.

Remarque : Dans cette preuve de concept, je l'ai seulement programmé pour terminer le processus à l'aide du PID. Il supporte d'autres méthodes comme la terminaison par le nom du processus et la terminaison du processus et de ses processus enfants par le nom du processus parent. Pour ce faire, il suffit d'une petite modification, et cela fonctionnera. Veuillez lire le code de la preuve de concept pour comprendre.

Tests sur les systèmes de sécurité les plus connus du marché :

360 Antivirus

Kaspersky Antivirus

Avast Antivirus

AVG Antivirus

Panda Antivirus

Windows Defender

Hash du pilote

J'ai publié la vulnérabilité car je n'ai pas pu contacter l'entreprise développeuse pour la signaler.

Chronologie

• Contact #1 (Sans réponse).
• Contact #2 (Sans réponse).
• Notification à Mitre concernant le manque de contact avec l'entreprise et attribution d'un CVE pour tenter un contact.
• Contact #3 (Envoi d'un dernier e-mail avec le numéro CVE, avec un délai de 14 jours pour répondre).
• Publication (Sans réponse).
• Quelques idiots d'APT l'ont utilisé dans des malwares (le jour même de ma publication) – Expliqué dans un très bon article par Unit42-Team (et leur équipe a tout mon respect car ils ont enquêté et l'ont également désigné comme une vulnérabilité du pilote).
• Une notification a été envoyée à l'équipe de renseignement sur les menaces de Microsoft.
• Microsoft a renvoyé un e-mail de remerciement pour le signalement.
• Le pilote et le compte de l'entreprise ont été bloqués par l'équipe de renseignement sur les menaces de Microsoft.
• Publication dans les « règles de blocage de pilotes recommandées par Microsoft ».
• Je n'ai pas publié le CVE car l'entreprise ne m'a pas répondu et je n'aime pas forcer la publication.
• (24/12/2024) J'ai reçu un contact du développeur responsable du pilote, qui m'a assuré que la vulnérabilité a été correctement corrigée. Ceci conclut donc le processus de divulgation publique responsable.

rentdrv2_x32 - 1aed62a63b4802e599bbd33162319129501d603cceeb5e1eb22fd4733b3018a3

rentdrv2_x64 - 9165d4f3036919a96b86d24b64d75d692802c7513f2b3054b20be40c212240a5