Aorus Gigabyte v1.34를 이용한 RobinHood 랜섬웨어 복제 PoC v1.34

설명

이 익스플로잇은 먼저 gigabyte 드라이버에 대한 핸들을 획득하고 IOCTL 코드를 사용하여 메모리를 할당한 뒤 커널 메모리에 셸코드를 삽입합니다. 셸코드 자체는 EPROCESS 구조체를 순회하는 루프를 실행하여 "system" 프로세스와 연관된 토큰을 찾아내고, 이 토큰을 실제 cmd에 부여합니다. 이 시점부터 모든 기본 보안 기능이 비활성화됩니다. 그런 다음 mimikatz 드라이버가 다운로드되어 시스템에 로드됩니다. 이 시점부터 Windows Defender는 완전히 중지되어 데스크톱에 존재하는 모든 파일을 암호화합니다.

사용법

프로젝트를 빌드한 후 InjectRSA 실행 파일을 사용하여 공개 키를 익스플로잇 실행 파일에 삽입해야 합니다. 그런 다음 익스플로잇 RobbinHood.exe를 실행하기만 하면 됩니다.

• InjectRSA.exe pub.key RobbinHood.exe

• RobbinHood.exe

난독화 기법

이 익스플로잇은 기본적으로 난독화되어 있지 않으며, [Obfuscator-LLVM 프로젝트] (https://github.com/heroims/obfuscator)를 설치하여 컴파일 시점 난독화를 적용할 수 있습니다. 다음 난독화 컴파일 지시자는 테스트를 거쳐 승인되었습니다:

-D__CUDACC__ -D_ALLOW_COMPILER_AND_STL_VERSION_MISMATCH -mllvm -bcf -mllvm -bcf_prob=100 -mllvm -bcf_loop=3 
-mllvm -sub -mllvm -sub_loop=2 -mllvm -fla -mllvm -split_num=10 -mllvm -aesSeed=DEADBEEFDEADBEEFDEADBEEFDEADBEEF

기술 정보

취약한 드라이버 : Gigabyte AORUS Graphics Engine v1.34

드라이버에 필요한 패키지 : Visual C++ Redistribuable 2012 x86

Visual Studio 2013 Community에서 개발됨

테스트 환경 : Windows 8.1 x64 6.3.9600

크레딧

• [Ruben Santamarta : Exploiting Common Flaw in Drivers (2007)]
• [CVE-2018-19320-LPE] (https://github.com/hmnthabit/CVE-2018-19320-LPE)
• [DisableSVC] (https://github.com/rbmm/DisableSvc)