BadRentdrv2
私が悪用した脆弱なドライバー（BYOVD）で、市場のいくつかのEDRやアンチウイルスソフトウェアを無効化し、動作不能にすることができます。x32とx64の両方で動作します。
どのように動作するか？
より広い攻撃範囲を狙い、従来のx32アーキテクチャをターゲットにしてコンパイルします。
管理者権限のコマンドプロンプトで、次のコマンドラインを使用します：
これにより、保護されたプロセスを難なく強制終了できます。
注：この概念実証では、PIDを使用してプロセスを強制終了するようにのみプログラムしています。プロセス名による強制終了や、親プロセス名によるプロセスとその子プロセスの強制終了など、他の方法にも対応しています。これを行うには、小さな変更を加えるだけで動作します。詳細は概念実証のコードをご覧ください。
市場で最もよく知られているセキュリティシステムでのテスト：
360 Antivirus
Kaspersky Antivirus
Avast Antivirus
AVG Antivirus
Panda Antivirus
Windows Defender
ドライバーのハッシュ
開発元企業に連絡して報告できなかったため、脆弱性を公開しました。
タイムライン
- 連絡 #1（返答なし）。
- 連絡 #2（返答なし）。
- 企業との連絡不足についてMitreに通知し、連絡を試みるためにCVEが発行されました。
- 連絡 #3（CVE番号を添付した最後のメールを送信し、14日間の返答期間を設定）。
- 公開（返答なし）。
- APTの一部の愚か者が公開当日にマルウェアで使用 – Unit42-Teamによる非常に優れた記事で解説されています（同チームはドライバーの脆弱性として調査・特定した点で敬意を表します）。
- Microsoftの脅威インテリジェンスチームに通知が送信されました。
- Microsoftから報告に対する感謝のメールが返信されました。
- ドライバーと企業アカウントがMicrosoft脅威インテリジェンスチームによってブロックされました。
- 「Microsoft推奨ドライバーブロックルール」に公開されました。
- 企業からの返答がなく、強制的な公開を好まなかったため、CVEは公開しませんでした。
- （2024年12月24日）ドライバーの開発担当者から連絡を受け、脆弱性が適切に修正されたことを確認しました。これにより、責任ある公開開示プロセスは終了となります。
rentdrv2_x32 - 1aed62a63b4802e599bbd33162319129501d603cceeb5e1eb22fd4733b3018a3
rentdrv2_x64 - 9165d4f3036919a96b86d24b64d75d692802c7513f2b3054b20be40c212240a5
