Kaspersky arkmon.sys KASLRバイパス：カーネルデバッグログ漏洩による攻撃

Kasperskyのアンチルートキットモニタードライバー（arkmon.sys）は、生のカーネルポインタを含むカーネルデバッグログを保存します。このログはXOR 0xCC + ROT13で「暗号化」されていますが、これは簡単に逆変換可能です。管理者ユーザーは誰でもIOCTLを介してこのログを読み取り、復号化できるため、KASLRを完全に無効化できます。

本稿執筆時点で、この概念実証は完全にパッチ適用されたWindows 11 25H2および最新のデータベース更新を適用したKaspersky Standard: K4W-21-26で動作します。

では、何が得られるのでしょうか？復号化されたログには、複数のカーネル空間アドレス（0xFFFF...）、ドライバーベース、カーネルオブジェクトポインタ、内部オフセットが含まれています。これらはKASLRを無効化し、カーネルエクスプロイトチェーンのプリミティブとして使用できます。

gcc -o poc.exe poc.c
poc.exe

管理者権限が必要です。Kasperskyがインストールされ、実行されている必要があります。