DsArk64

DsArk64.sys は 360 Total Security に同梱されています。Microsoft による WHQL 署名済み。LOLDrivers: magicsword-io/LOLDrivers#308。CVE: 申請中 (MITRE)。

プリミティブ

プロセス強制終了 (リング0)

• IOCTL 0x80863008、入力: 4バイトの生PID
• ドライバはカーネルから ZwOpenProcess(ALL_ACCESS) + ZwTerminateProcess を呼び出す
• このIOCTLに暗号化はなし
• PPL、EDRの自己保護、改ざん防止をバイパス

カーネル読み取り

• IOCTL 0x80863028、AES-128-CBC 暗号化入力
• memcpy(out, kernel_addr, n)、最大512バイト
• 検証は MmIsAddressValid() のみ

カーネル書き込み

• IOCTL 0x80863028、同じ暗号化
• MDLマップ + DPCブロードキャスト memcpy、最大32バイト

暗号化

• AES-128-CBC、静的キーが .data セクションに埋め込まれている
• キー: 62b456ec407f0a9a05911cb6f238a7fe
• IV: e59329b6d408e7fa557637e62c9eaa43
• 復号後のバッファレイアウト: [MD5(payload) 16B][payload]

アクセス

ドライバはデバイスアクセスを許可する前に、呼び出し元プロセスがQihoo Authenticode署名を持っているか確認します。プロセスホロウイングによりバイパス:

1. 360.cn から任意の360インストーラーをダウンロード (アカウント不要、CAPTCHAなし)
2. サスペンド状態で起動 (CREATE_SUSPENDED)
3. CreateRemoteThread 経由でシェルコードを注入; シェルコードは CreateFileW("\\.\DsArk") を呼び出す
4. ドライバは IoGetCurrentProcess() のイメージ名を確認し、Qihoo証明書を認識してオープンを許可
5. 結果を DuplicateHandle で攻撃者プロセスに戻す
6. ドナーを TerminateProcess

インストーラーの WinMain は決して実行されません。

要件

• 管理者権限 (ドライバのロードとレジストリ書き込みのため)
• Windows 10 / Windows 11 x64
• pycryptodome または cryptography pipパッケージ (暗号化IOCTLテスト用)

PoC結果

8/8 成功:

1. レジストリキー HKLM\...\360FsFlt\daboot=1 を作成
2. sc create/start でドライバをロード (WHQL署名済み、テスト署名なし)
3. プロセスホロウイングバイパスでデバイスをオープン
4. バージョンIOCTL 0x80863000 が応答
5. プロセス強制終了IOCTL 0x80863008 が notepad.exe を終了
6. カーネルアドレスチェックIOCTL 0x80863020 がハンドラに到達
7. 暗号化IOCTL 0x80863028 の暗号検証 (AESキー/IVが正しく、MD5が受理)
8. 未知のIOCTL 0xDEAD0000 が拒否

ハッシュ

クレジット

X: @weezerOSINT / Telegram: @weezer