CVE-2023-38817

echo.acのドライバで発見された脆弱性に関するPoCと解説。

CVE情報

• 番号: CVE-2023-38817
• ベンダー: Inspect Element Ltd (13017981)、Echoとして営業。
• 影響を受ける製品: echo.ac AntiCheatスキャナーツール。
• 影響を受けるバージョン: echo.ac - <5.2.1.0、echo_driver.sys - 出荷されたすべてのバージョン。
• 影響を受けるオペレーティングシステム: Windows 7からWindows 11までの64ビット版Windows。
• 緩和策: ソフトウェアを使用せず、ドライバ署名をブラックリストに追加すること。

## 証明書失効

MicrosoftはEcho Driverを脆弱なドライバのブロックリストに追加し、証明書は失効しました（Echoチームがエクスプロイトは本物ではないと主張した後でも）。

えーと、気にしないで？まだ動くみたいだし lol

まだエクスプロイトを使用したい場合は、Microsoftの脆弱なドライバのブロックリストをテスト署名を有効にして無効にする必要があります。

💕 クレジット

• Whanos: https://github.com/Whanos/ - 初期発見、echo.acとの最初の接触、執筆。
• Lemon（匿名希望） - エクスプロイトの開発と支援。
• kite03: https://github.com/kite03/ - エクスプロイトの開発、および執筆。

詳細な解説リンク

https://ioctl.fail/echo-ac-writeup/

ドライバのダウンロード

セキュリティ上の理由から、このリポジトリからバイナリを削除しました。

追加情報を読み、ドライバのバイナリを公式のloldrivers.ioページからダウンロードできます: https://www.loldrivers.io/drivers/afb8bb46-1d13-407d-9866-1daa7c82ca63/

背景

echo.acは商用の「スクリーンシェアリングツール」であり、主にMinecraft PvPコミュニティ向けにマーケティングおよび開発されていますが、Rustなど他のゲームコミュニティでも使用されています。 「スクリーンシェアリングツール」とは、サーバー管理者がゲーム内で誰かがチートや同様の禁止された外部ツールを使用しているかどうかを特定するのを「支援」するために開発されたプログラムです - そのため、これらのプログラムはユーザーのコンピュータ上で多数の侵入的なスキャンを実行しますが、どのようなデータを収集し、なぜ収集するのかについては非常に曖昧です。

Echoは連絡を受けた際にこのバグを認めることを拒否しました。

お時間をいただきありがとうございました 💜。