BadRentdrv2

Un driver vulnerabile sfruttato da me (BYOVD) in grado di terminare diversi EDR e software antivirus presenti sul mercato, rendendoli inefficaci, funzionante sia per x32 che per x64.

Come funziona?

Compilare puntando all'architettura legacy x32 per una gamma di attacco più ampia.

In un prompt dei comandi elevato (Amministratore), utilizzare la seguente riga di comando:

BadRentdrv2.exe <PID>

Questo terminerà il processo protetto senza alcuna difficoltà.

Nota: In questa prova di concetto, ho programmato solo la terminazione del processo tramite PID. Supporta altri metodi come la terminazione per nome del processo e la terminazione del processo e dei suoi processi figli tramite il nome del processo padre. Per farlo, è sufficiente apportare una piccola modifica e funzionerà. Si prega di leggere il codice della prova di concetto per comprendere.

Test sui sistemi di sicurezza più noti sul mercato:

360 Antivirus

Kaspersky Antivirus

Avast Antivirus

AVG Antivirus

Panda Antivirus

Windows Defender

Hash del Driver

Ho pubblicato la vulnerabilità perché non sono riuscito a contattare l'azienda sviluppatrice per segnalarla.

Cronologia

• Contatto #1 (Nessuna risposta).
• Contatto #2 (Nessuna risposta).
• Notificato a Mitre riguardo la mancanza di contatto con l'azienda e CVE emesso per tentare il contatto.
• Contatto #3 (Inviata un'ultima email con il numero CVE, con 14 giorni per rispondere).
• Pubblicato (Nessuna risposta).
• Alcuni idioti di APT lo hanno utilizzato in malware (lo stesso giorno della pubblicazione) - Spiegato in un articolo molto interessante dal Team Unit42 (e il loro team ha il mio rispetto perché ha investigato e lo ha identificato come una vulnerabilità anche nel driver).
• Una notifica è stata inviata al team di intelligence sulle minacce di Microsoft.
• Microsoft ha risposto con un'email di ringraziamento per la segnalazione.
• Il Driver e l'Account Aziendale sono stati bloccati dal Microsoft Threat Intelligence Team.
• Pubblicato nelle "Regole di blocco dei driver consigliate da Microsoft".
• Non ho pubblicato il CVE perché l'azienda non mi ha risposto e non mi piace forzare la pubblicazione.
• (24/12/2024) Ho ricevuto un contatto dallo sviluppatore responsabile del driver, che mi ha assicurato che la vulnerabilità è stata correttamente risolta. Questo conclude quindi il processo di divulgazione pubblica responsabile.

rentdrv2_x32 - 1aed62a63b4802e599bbd33162319129501d603cceeb5e1eb22fd4733b3018a3

rentdrv2_x64 - 9165d4f3036919a96b86d24b64d75d692802c7513f2b3054b20be40c212240a5