ZeroHVCI - Contrer HVCI sans privilèges administrateur ni pilote noyau

ZeroHVCI effectue des lectures/écritures noyau arbitraires et des appels de fonctions dans des environnements protégés par Hypervisor-Protected Code Integrity (HVCI), sans autorisations administrateur ni pilotes noyau. onglet

Fonctionnalités

Lectures/écritures noyau complètes non privilégiées : les lectures/écritures noyau sont obtenues en exploitant CVE-2024-26229, qui ne nécessite aucune élévation de processus.
Appel de fonctions arbitraires : appelle n'importe quelle fonction noyau arbitraire avec les paramètres souhaités, entièrement depuis l'espace utilisateur.

Pour commencer

Pour commencer avec ZeroHVCI, vous pouvez cloner ce dépôt et compiler le projet.

Utilisation

//
// Read kernel memory example:
//
ReadKernelMemory(source_address, buffer_address, size);

//
// Write kernel memory example:
//
WriteKernelMemory(source_address, buffer_address, size);

//
// Kernel function calling example via name:
//
KF::CallKernelFunctionViaName<kernel_param_type1, kernel_param_type2, kernel_param_type3>(
  "kernel_function_name",
  param1,
  param2,
  param3);

//
// ExAllocatePool example:
//
KF::CallKernelFunctionViaName<PVOID, POOL_TYPE, SIZE_T>("ExAllocatePool", PoolType, Size);

//
// memcpy example:
//
KF::CallKernelFunctionViaName<PVOID, PVOID, PVOID, SIZE_T>("memcpy", Dst, Src, Size);

//
// PsLookupProcessByProcessId example:
//
PEPROCESS Process;
KF::CallKernelFunctionViaName<NTSTATUS, HANDLE, PEPROCESS*>("PsLookupProcessByProcessId", ProcessHandle, &Process);

Comment ça fonctionne

Deux projets principaux rendent cela possible

KernelForge- Tout le crédit revient à Dmytro Oleksiuk, son projet nous permet d'obtenir des appels de fonctions noyau conformes à HVCI en abusant de la hiérarchie des exécutions de threads et de la construction de chaînes ROP sans réellement patcher quoi que ce soit.

CVE-2024-26229- Tout le crédit revient à Eric Egsgard, cet exploit nous permet d'obtenir une lecture/écriture noyau en abusant d'un IOCTL avec METHOD_NEITHER dans csc.sys (un module Windows, les ressources seront liées ci-dessous si vous souhaitez en savoir plus.
CVE-2024-35250- Tout le crédit revient à l'équipe Devcore, cet exploit nous permet d'obtenir une lecture/écriture noyau en abusant de RtlClearAllBits dans ks.sys (un module Windows, les ressources seront liées ci-dessous si vous souhaitez en savoir plus.

À quoi cela sert-il ?

Démontre comment des CVE publiées peuvent être enchaînées pour accéder au noyau dans des environnements protégés par HVCI. Utile pour les chercheurs en sécurité qui étudient l'intégrité du noyau Windows et les mesures d'atténuation des contournements de HVCI.

Remerciements

Cr4sh pour KernelForge
varwara pour son POC POC2
Eric Egsgard pour sa présentation

Avertissement

Uniquement pour la recherche en sécurité éducative et autorisée. Ne l'utilisez pas sur des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas l'autorisation explicite de tester. Je ne suis pas responsable de toute mauvaise utilisation. Utilisation à vos propres risques.

Tous les noms de produits, marques commerciales et marques déposées mentionnés sont la propriété de leurs détenteurs respectifs.

ZeroHVCI

Populaires