tijme/amd-ryzen-master-driver-v17-exploitAMD の Ryzen Master ドライバ (バージョン 17) を使用したカーネルエクスプロイト用の Cobalt Strike (CS) Beacon Object File (BOF)。
AMDのRyzen Master Driver（バージョン17）を使用したカーネルエクスプロイト用のCobalt Strikeビーコンオブジェクトファイル。
Tijme制作。教えてくれたAlexに感謝！ Northwave Securityの支援により実現 
これは、AMDのRyzen Master Driver（バージョン17）を悪用するCobalt Strike（CS）ビーコンオブジェクトファイル（BOF）および実行可能ファイルです。ビーコンプロセスのトークンをシステムプロセスのトークンで上書きするだけです。しかし、KernelMiiと同様に、このBOFは主にCSを介したさらなるカーネルエクスプロイトのための優れた基盤です。EDRの無効化、ETW TIの無効化、LSASS PPLのダンプ、その他の検出されない悪意のあるアクションに利用できます。
この脆弱性（管理者からカーネルへの特権昇格はセキュリティ境界とは見なされないため、脆弱性と呼べるかどうかは別として）は、当初、カーネルドライバーの調査中に特定しました。このドライバーでは4つの攻撃ベクトルを特定しました。その後、@h0mbreが2020年にこれらのベクトルのうち2つを特定していたことを知りました（CVE-2020-12928）。当時は、システム上のすべてのユーザーがシンボリックリンクへのハンドルを開くことができました。AMDは、ローカル管理者にアクセスを制限することでこれを「修正」しました。しかし、脅威アクターやレッドチームの観点からは、依然として非常に有用です。
このエクスプロイトはWindows 10 Pro 22H2 19045.2486で開発およびテストしました。 実行可能ファイルはある程度安定しています。Cobalt Strikeのビーコンには4096バイトのスタック制限があるため、動作する可能性は低くなります（ただし開発中は常に動作していました）。実行可能ファイルは常に動作するはずです。
まずこのリポジトリをクローンしてください。次にコードを確認し、ソースからコンパイルしてCobalt Strikeで使用します。
コンパイル
make
使用方法
Cobalt Strike Script Managerを使用して、AMDRyzenMasterDriverV17Exploit.cnaスクリプトを読み込みます。次に、以下のコマンドを使用してエクスプロイトを実行します。
$ amd_ryzen_master_driver_v17_exploit
あるいは（テスト目的であれば）、コンパイル済みの実行可能ファイルを直接実行することもできます。これにより、SYSTEMとしてコマンドプロンプトが起動します。
$ .\AMDRyzenMasterDriverV17Exploit.x64.exe
問題や新機能の要望は、issue trackerから報告できます。新しいものを送信する前に、あなたの問題や機能要望が他の誰かによってまだ報告されていないことを確認してください。
Copyright (c) 2022 Tijme Gommers & Northwave Security. All rights reserved. 完全なライセンスはLICENSE.mdをご覧ください。