Il certificato è scaduto nel 2022, ma la firma porta un timestamp di controfirma attendibile, quindi Windows lo carica comunque. La revoca aiuta solo se la sua data precede quella della firma, cosa che raramente accade per driver vecchi come questo.

La risorsa di versione non ha CompanyName, OriginalFilename o InternalName, quindi il file non può essere attribuito a un fornitore dai suoi stessi metadati.

Il bug

Due IOCTL leggono e scrivono memoria fisica senza validazione dei limiti o degli indirizzi:

Entrambi sono METHOD_BUFFERED, quindi non c'è dereferenziazione di puntatori utente; il difetto è la mancata validazione dell'indirizzo fisico fornito dal chiamante, non un puntatore non controllato.

Da segnalare: l'handler di scrittura 0x8000649C è dichiarato FILE_READ_ACCESS. Un handle aperto in sola lettura può comunque emettere scritture fisiche, quindi la maschera di accesso dichiarata non corrisponde a ciò che l'handler fa effettivamente.

Impatto

Aprire il dispositivo richiede privilegi di amministratore, quindi non si tratta di un attraversamento del confine di privilegio di per sé. Ciò che offre a un attaccante già amministratore è lettura/scrittura arbitraria del kernel dalla modalità utente, che sconfigge le protezioni che dovrebbero reggere al di sopra dell'amministratore: integrità del codice HVCI, PPL e auto-protezione di EDR/AV. Classico bring-your-own-vulnerable-driver.

Come dimostrazione concreta, il PoC usa la primitiva di R/W per rubare il token di SYSTEM e generare una shell SYSTEM.

CVSS 4.0: AV:L/AC:H/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H (8.7, High).

Come funziona l'exploit

Tutto viene eseguito dalla modalità utente contro gli IOCTL di R/W fisica del driver. Non c'è page-table walking e nessun CR3 coinvolto; entrambi i processi vengono individuati scansionando direttamente la memoria fisica:

1. Individuare SYSTEM. Scansionare la memoria fisica per un EPROCESS il cui ImageFileName sia System e il cui UniqueProcessId sia 4. La scansione è limitata agli intervalli di RAM popolata letti dalla chiave di registro HARDWARE\RESOURCEMAP\...\Physical Memory del firmware, non una finestra ipotizzata, quindi i buchi MMIO non vengono mai toccati e nulla al di sopra della RAM installata viene perso.
2. Leggere il token di SYSTEM. Leggere il campo Token (EPROC_TOKEN) dall'EPROCESS individuato.
3. Individuare il nostro processo. Scansionare la memoria fisica allo stesso modo per l'EPROCESS del PoC stesso, confrontando il nome dell'immagine come pattern di 8 byte e confermando con il suo PID.
4. Scambiare il token. Scrivere il valore del token di SYSTEM nel nostro slot Token. Il token è un _EX_FAST_REF, quindi i bit bassi del reference-count sono mascherati per impostazione predefinita (--mask seleziona il comportamento).
5. Dimostrarlo. Generare cmd.exe; whoami restituisce NT AUTHORITY\SYSTEM.

Gli offset (EPROC_TOKEN, EPROC_PID, EPROC_IMG_NAME, ecc.) sono per una build specifica e devono essere confermati con dt nt!_EPROCESS sulla versione di Windows di destinazione.

Il nome dell'eseguibile è importante. Il passo 3 individua il nostro processo confrontando il suo ImageFileName in memoria fisica, e quel campo è limitato a 15 caratteri con la scansione che confronta i primi 8. Mantieni il nome compilato breve e distintivo; se rinomini il binario, rimani entro quel limite o la scansione automatica non troverà il processo.

Il nome del dispositivo è controllato dall'attaccante

Il driver non usa un nome di dispositivo fisso. Deriva il nome dell'oggetto dispositivo dal nome del servizio con cui è registrato; il nome del file su disco è irrilevante. Registrare il binario sotto il servizio TRIXX produce \\.\TRIXX indipendentemente da come si chiami il file su disco.

Quindi qualsiasi rilevamento basato su \Device\ThrottleStop o ThrottleStop.sys è banalmente aggirabile. Il rilevamento deve basarsi sull'hash del file o sul certificato di firma:

La lista DEVICE_NAMES nel sorgente è solo una sonda per installazioni note del prodotto. Passa un nome di dispositivo come argomento per prendere di mira un servizio che hai registrato tu stesso.

Driver TechPowerUp correlati

Il driver non è incluso

Il binario non è distribuito qui. Verifica qualsiasi copia rispetto allo SHA256 sopra. Il campione è catalogato in LOLDrivers.

Build

Utilizzo

Solo per uso in laboratorio. Esegui all'interno di una VM isolata con uno snapshot a cui ripristinare.

Il binario non accetta argomenti. Stampa la mappa della memoria fisica, cerca l'EPROCESS di SYSTEM e quello locale, scambia il token e genera cmd.exe in esecuzione come NT AUTHORITY\SYSTEM.

Demo

Altri PoC e lavori precedenti

Altri lavori pubblici sullo stesso driver, per confronto:

• Demoo1337/ThrottleStop — PoC precedente per gli stessi IOCTL
• xM0kht4r/CVE-2025-7771 — R/W fisica più VA-to-PA tramite Superfetch
• AmrHuss/throttlestop-exploit-rw — R/W fisica con traduzione degli indirizzi tramite Superfetch
• v31l0x1/ThrottleStopPPL — bypass della protezione PPL
• Yuri08loveElaina/CVE-2025-7771 — un'altra implementazione

Crediti

• LOLDrivers — catalogazione dei driver vulnerabili

Disclaimer

Pubblicato per ricerca difensiva e ingegneria del rilevamento. La vulnerabilità è già pubblica come CVE-2025-7771. Tutto qui è stato testato su sistemi di proprietà dell'autore. Non eseguire questo su sistemi che non possiedi o che non sei autorizzato a testare.