anylnk/ksldbyovdarkSfrutta una vulnerabilità del driver anti-rootkit KSLD (IOCTL 0x222044) per bypassare la protezione PPL e accedere alla memoria sensibile dei processi, consentendo l'escalation dei privilegi locali sui sistemi Windows.
Riferimento: KslKatz e KslDump.
KslD.sys, alias MpKslDrv.sys, era uno dei driver degli strumenti anti-rootkit di Microsoft Antimaware (che include Microsoft Defender Antivirus, Windows Defender Antivirus nelle vecchie versioni di Windows, Microsoft Security Essentials, System Center Endpoint Protection, ecc.)
Come driver ark, consente di essere eseguito con qualsiasi nome di file, qualsiasi nome di servizio e qualsiasi nome di dispositivo (tali configurazioni sono memorizzate nel registro HKLM\SYSTEM\CurrentControlSet\Services(DriverServiceName)), e consente anche a più istanze (anche versioni diverse) di coesistere per evitare blocchi da parte del malware.
Il driver con versione 1.1.25081.3013 verifica se l'utente ha almeno privilegi di amministratore e se è il processo consentito (anch'esso memorizzato nella configurazione del servizio) prima di aprire il suo dispositivo, ma non ci sono ulteriori verifiche per controllare se la configurazione è stata modificata o se il codice IOCTL proviene da un processo reale di MS-Antimalware. Questo espone IOCTL 0x222044 agli amministratori di sistema locali e concede loro accesso a dati sensibili nei Processi Protetti (Ad esempio, lsass.exe sotto protezione PPL)
Possiamo creare una configurazione di servizio specifica e caricare il driver, per i motivi menzionati in precedenza, non è necessario modificare le configurazioni KSLD esistenti ma creare un servizio completamente nuovo. Il driver si fiderà del nostro progetto exe e bypasserà le protezioni vulndrv basate su nomi di file/servizio/dispositivo.
Poiché Microsoft non ritiene che questo problema soddisfi i loro criteri di vulnerabilità di sicurezza, i difetti menzionati in questa divulgazione potrebbero non essere corretti immediatamente.
