KSLDBYOVD

参考：KslKatz および KslDump。

KslD.sys（別名 MpKslDrv.sys）は、かつて Microsoft Antimalware（Microsoft Defender ウイルス対策、旧バージョンの Windows における Windows Defender ウイルス対策、Microsoft Security Essentials、System Center Endpoint Protection などを含む）のアンチルートキットツールドライバの一つでした。

ARK ドライバとして、任意のファイル名、サービス名、デバイス名で動作することができ（そのような設定はレジストリ HKLM\SYSTEM\CurrentControlSet\Services(DriverServiceName) に保存されます）、また、マルウェアによるブロックを回避するために複数のインスタンス（異なるバージョンでも）の共存も許可しています。

バージョン 1.1.25081.3013 のドライバは、デバイスを開く前にユーザーが少なくとも管理者権限を持っていることと、許可されたプロセスであること（これもサービス設定に保存される）をチェックしますが、設定が変更されたかどうか、または IOCTL コードが実際の MS-Antimalware プロセスからのものかどうかを検証するためのさらなる確認はありません。これにより、IOCTL 0x222044 がローカルシステム管理者に公開され、保護されたプロセス（例：PPL 保護下の lsass.exe）内の機密データへのアクセスを許可します。

前述の理由から、既存の KSLD 設定を変更する必要はなく、まったく新しいサービスを作成することができます。ドライバは私たちのプロジェクトの exe を信頼し、ファイル/サービス/デバイス名に基づく vulndrv 保護をバイパスします。

Microsoft はこの問題がセキュリティ脆弱性の基準を満たしているとは考えていないため、この開示に記載された欠陥は直ちに修正されない可能性があります。