BadRentdrv2

मेरे द्वारा शोषित एक कमजोर ड्राइवर (BYOVD) जो बाजार में कई EDRs और एंटीवायरस सॉफ्टवेयर को समाप्त करने में सक्षम है, उन्हें अप्रभावी बनाता है, और x32 और x64 दोनों के लिए काम करता है।

यह कैसे काम करता है?

व्यापक हमले की सीमा के लिए लीगेसी x32 आर्किटेक्चर को लक्षित करके संकलित करें।

एक उन्नत कमांड प्रॉम्प्ट (व्यवस्थापक) में, निम्न कमांड लाइन का उपयोग करें:

BadRentdrv2.exe <PID>

यह बिना किसी कठिनाई के संरक्षित प्रक्रिया को समाप्त कर देगा।

नोट: इस प्रूफ ऑफ कॉन्सेप्ट में, मैंने इसे केवल PID का उपयोग करके प्रक्रिया को समाप्त करने के लिए प्रोग्राम किया है। यह अन्य विधियों का समर्थन करता है जैसे प्रक्रिया नाम से समाप्त करना और पैरेंट प्रक्रिया नाम से प्रक्रिया और उसकी चाइल्ड प्रक्रियाओं को समाप्त करना। ऐसा करने के लिए, बस एक छोटा सा संशोधन करें और यह काम करेगा। कृपया समझने के लिए प्रूफ ऑफ कॉन्सेप्ट कोड पढ़ें।

बाजार में सबसे प्रसिद्ध सुरक्षा प्रणालियों पर परीक्षण:

360 एंटीवायरस

कास्परस्काई एंटीवायरस

अवास्ट एंटीवायरस

AVG एंटीवायरस

पांडा एंटीवायरस

विंडोज डिफेंडर

ड्राइवर हैश

मैंने कमजोरी प्रकाशित की क्योंकि मैं इसकी रिपोर्ट करने के लिए डेवलपर कंपनी से संपर्क नहीं कर सका।

समयरेखा

• संपर्क #1 (कोई प्रतिक्रिया नहीं)।
• संपर्क #2 (कोई प्रतिक्रिया नहीं)।
• कंपनी से संपर्क की कमी और संपर्क का प्रयास करने के लिए CVE जारी करने के बारे में Mitre को सूचित किया गया।
• संपर्क #3 (CVE नंबर के साथ अंतिम ईमेल भेजा, प्रतिक्रिया के लिए 14 दिन का समय)।
• प्रकाशित (कोई प्रतिक्रिया नहीं)।
• कुछ APT मूर्खों ने इसे मैलवेयर में इस्तेमाल किया (उसी दिन जब मैंने प्रकाशित किया) - Unit42-Team द्वारा एक बहुत ही अच्छे लेख के साथ समझाया गया (और उनकी टीम मेरा सम्मान रखती है क्योंकि उन्होंने जांच की और इसे ड्राइवर पर एक कमजोरी के रूप में भी नियुक्त किया)।
• माइक्रोसॉफ्ट की खतरा खुफिया टीम को एक सूचना भेजी गई।
• माइक्रोसॉफ्ट ने रिपोर्ट के बारे में धन्यवाद देते हुए एक ईमेल वापस भेजा।
• माइक्रोसॉफ्ट थ्रेट इंटेलिजेंस टीम द्वारा ड्राइवर और कंपनी खाता अवरुद्ध कर दिया गया।
• "Microsoft recommended driver block rules" पर प्रकाशित किया गया।
• मैंने CVE प्रकाशित नहीं किया क्योंकि कंपनी ने मुझे जवाब नहीं दिया और मुझे प्रकाशन के लिए मजबूर करना पसंद नहीं है।
• (24/12/2024) मुझे ड्राइवर के लिए जिम्मेदार डेवलपर से संपर्क प्राप्त हुआ, जिसने मुझे आश्वासन दिया कि कमजोरी को ठीक से ठीक कर दिया गया है। इस प्रकार जिम्मेदार सार्वजनिक प्रकटीकरण प्रक्रिया समाप्त होती है।

rentdrv2_x32 - 1aed62a63b4802e599bbd33162319129501d603cceeb5e1eb22fd4733b3018a3

rentdrv2_x64 - 9165d4f3036919a96b86d24b64d75d692802c7513f2b3054b20be40c212240a5