CVE-2025-61155 — GameDriverX64.sys में मनमानी प्रक्रिया समाप्ति

एक हस्ताक्षरित कर्नेल-मोड एंटी-चीट ड्राइवर — GameDriverX64.sys, जो Tower of Fantasy (Hotta Studio / Perfect World) के साथ शिप किया गया है — किसी भी अनप्रिविलेज्ड स्थानीय उपयोगकर्ता को मनमानी प्रक्रियाओं को समाप्त करने की अनुमति देता है, जिसमें PPL-संरक्षित एंटीवायरस/EDR सेवाएँ शामिल हैं। यह उस प्रकार का प्रिमिटिव है जिसे ransomware ऑपरेटर तलाशते हैं, और इसे Interlock ऑपरेशन द्वारा BYOVD EDR-किलर के रूप में सक्रिय रूप से जंगल में दुरुपयोग किया जा रहा है।

यह रिपॉजिटरी एक पूर्ण, पुनरुत्पादनीय विश्लेषण है: सुरक्षा सलाह, एक मूल IDA Pro रिवर्स-इंजीनियरिंग विश्लेषण, एक प्रूफ ऑफ कॉन्सेप्ट, और उपयोग के लिए तैयार डिटेक्शन और मिटिगेशन सामग्री।

शोधकर्ता: Gabriel Maciel Ramos · Anthony Sforzin · Gabriel Gomes

डेमो

ड्राइवर के माध्यम से लक्ष्य प्रक्रिया को समाप्त करने का प्रूफ ऑफ कॉन्सेप्ट। इनलाइन प्लेयर रेंडर नहीं कर रहा? क्लिप डाउनलोड करें।

एक नज़र में

शोषण श्रृंखला

1. LoadLibrary a DLL named QmGUI.dll / QmGUI4.dll / gameuirender.dll
   └─ passes the filename-only "verification" in IRP_MJ_CREATE

2. CreateFile("\\.\HtAntiCheatDriver")          ← default DACL, any user can open

3. DeviceIoControl(0x222040, {0xFA123456, pid}) ← only gate is a hardcoded magic

4. Driver: ZwOpenProcess(GENERIC_ALL) → ZwTerminateProcess
   └─ runs with PreviousMode == KernelMode → access check skipped
   └─ kills ANY process, including protected AV/EDR

तीन "गार्डरेल्स", सभी पराजित: डिवाइस में एडमिन-ओनली ACL नहीं है, CREATE जाँच एक मॉड्यूल नाम स्ट्रिंग की तुलना करती है (समान नाम वाली कोई भी DLL लोड करके इसे जाली बनाया जा सकता है), और IOCTL गेट बाइनरी में एक स्थिरांक है। मार कर्नेल में चलती है, इसलिए प्रक्रिया सुरक्षा (PPL) लागू नहीं होती। पूर्ण वॉकथ्रू docs/01-technical-analysis.md में।

रिपॉजिटरी मैप

रिवर्स इंजीनियरिंग

docs/01-technical-analysis.md में विश्लेषण IDA Pro 9.4 + Hex-Rays में वैध रूप से हस्ताक्षरित, कमजोर नमूने (SHA-256 9DDAE4…3C9F1E, देखें sample/SAMPLE.md) के विरुद्ध स्थिर रूप से तैयार किया गया था। इस रिपॉजिटरी में प्रत्येक पता, स्थिरांक और डीकंपाइल किया गया स्निपेट सीधे बाइनरी से उठाया गया है और जंगल में उपयोग किए जाने वाले टूलिंग पर सार्वजनिक रिपोर्टिंग की स्वतंत्र रूप से पुष्टि करता है।

रक्षक: यहाँ से शुरू करें

1. ब्लॉक करें ड्राइवर को Microsoft Vulnerable Driver Blocklist (HVCI) और/या WDAC अस्वीकार नियम के माध्यम से — docs/04-mitigation.md.
2. शिकार करें YARA नियमों और IOCs के साथ — detection/.
3. पता लगाएं शोषण (डिवाइस खुलता है, 0x222040 IOCTL, कर्नेल-मूल प्रक्रिया हत्याएँ) — docs/03-detection.md.

अस्वीकरण

केवल रक्षात्मक सुरक्षा, डिटेक्शन इंजीनियरिंग, शिक्षा और अनुसंधान के लिए। प्रूफ ऑफ कॉन्सेप्ट का उपयोग केवल उन सिस्टमों पर करें जिनके आप मालिक हैं या परीक्षण करने के लिए अधिकृत हैं। SECURITY.md देखें। कमजोर ड्राइवर बाइनरी जानबूझकर शामिल नहीं की गई है।

संदर्भ

• NVD — https://nvd.nist.gov/vuln/detail/CVE-2025-61155
• MITRE / CVE.org — https://www.cve.org/CVERecord?id=CVE-2025-61155
• GitHub Advisory — https://github.com/advisories/GHSA-9qfv-m6w2-fhch
• Canonical advisory (co-author) — https://github.com/pollotherunner/CVE-2025-61155
• FortiGuard Labs — https://www.fortinet.com/blog/threat-research/interlock-ransomware-new-techniques-same-old-tricks
• Securonix — https://connect.securonix.com/threat-research-intelligence-62/cve-2025-61155-and-interlock-ransomware-a-converging-threat-198
• Vespalec, "Tower of Flaws" — https://vespalec.com/blog/tower-of-flaws/