✅ CVE-2022-22077 익스플로잇 프레임워크 RTCore64.sys:

이 문서는 CVE-2022-22077 익스플로잇 프레임워크에 대한 포괄적인 개요를 제공합니다. 이 프레임워크는 RTCore64.sys 드라이버 취약점을 대상으로 하는 정교한 BYOVD (Bring Your Own Vulnerable Driver) 공격 툴킷입니다. 이 프레임워크는 교육 및 보안 연구 목적으로 고급 Windows 커널 익스플로잇 기술을 시연합니다.

다루는 내용에는 취약점의 기술적 기반, 프레임워크의 아키텍처, 그리고 더 넓은 LazyOwn RedTeam 툴킷과의 통합이 포함됩니다. 자세한 취약점 분석은 취약점 분석을 참조하세요. 개별 구성 요소의 구체적인 구현 세부 사항은 익스플로잇 프레임워크를 참조하세요.

🚨 CVE-2022-22077 — MSI Center / Dragon Center — RTCore64.sys를 통한 임의 메모리 읽기/쓰기

CVE-2022-22077은 MSI Center 및 Dragon Center 애플리케이션과 함께 배포되는 RTCore64.sys 드라이버에 영향을 미치는 높은 심각도의 취약점(CVSS 점수 7.8)입니다. 이 취약점은 노출된 IOCTL 인터페이스로 인해 발생하며, 권한이 없는 사용자가 임의의 물리적 메모리 읽기 및 쓰기를 수행할 수 있게 하여 모든 Windows 커널 보안 메커니즘을 효과적으로 우회합니다.

주요 영향 영역:

로컬 권한 상승(SYSTEM)
EDR/AV 우회 기능
커널 모드 코드 실행
루트킷 설치 가능성

단계

1단계: 환경 준비

파일: install.sh - mingw-w64 크로스 컴파일 환경 설정
파일: build.sh - Linux 호스트에서 Windows 실행 파일 컴파일
통합: CVE-2022-22077.yaml을 통한 LazyOwn 프레임워크 구성

2단계: 자동 배포

파일: payload.ps1 - PowerShell 스크립트 처리:
- 권한 검증(SeLoadDriverPrivilege)
- VBS/HVCI 호환성 확인
- 원격 서버에서 드라이버 및 익스플로잇 다운로드
- Windows 서비스 생성 및 관리

3단계: 커널 익스플로잇

파일: exploit.c - 다음을 구현하는 네이티브 코드:
- RTCore64.sys 장치 통신
- SYSTEM 프로세스 토큰 추출
- 현재 프로세스 토큰 교체
- 권한 상승 검증

메모리 조작 아키텍처

이 프레임워크는 RTCore64.sys 드라이버 취약점을 활용하여 구조화된 접근 방식을 통해 커널 메모리 액세스를 구현합니다.

글

descarga 2

RTCore64 연대기: GPU 튜너가 커널 킬러가 될 때 (그리고 그게 버그가 아니라 기능인 이유)

작성자: grisun0, 커널 카오스 수석 설계자 겸 파트타임 드라이버 위스퍼러 - LazyOwn RedTeam

7분 읽기 · 오전 3:33 게시, 왜냐하면 "HVCI? 본 적도 없어요."

"시스템을 장악하는 가장 좋은 방법은 자신의 드라이버에게 예의 바르게 IOCTL로 허락을 구하는 것입니다." — grisun0, 아마 속옷만 입고 MSI Afterburner를 리버스 엔지니어링하면서 한 말

이게 정상인 척하는 부분은 건너뛰죠.

이 글을 읽고 있다면, 당신은 아마:

마차를 마시면서 RTCore64.sys를 커널 백도어로 만들어버린 레드 팀원이거나,
ProcMon에서 \.\RTCore64를 보고 "내 GPU가 왜 PsInitialSystemProcess를 읽어야 하지?"라고 생각하는 블루 팀원이거나,
아니면 "게임 드라이버로 SYSTEM이 되는 방법"을 구글링하다가 여기까지 온 사람일 겁니다. (스포일러: 가능할 뿐만 아니라 우아합니다.)

LazyOwn RedTeam™에 오신 것을 환영합니다. 여기서 우리는 보안을 우회하지 않습니다. 초대해서 저녁을 먹인 다음 지갑을 훔칩니다.

오늘 소개할 것은 RTCore64.sys입니다. 드라이버도, 도구도 아닌, RTX 3090 오버클러킹 유틸리티로 위장한 완전한 기능의 커널 익스플로잇입니다.

그리고 네, 반전이 있습니다.

스포일러: 여전히 cmd.exe를 사용합니다. 더 큰 스포일러: 이제 beacon.exe도 사용합니다. 더 더 큰 스포일러: 둘 다 "임의 커널 메모리 액세스"를 편의 기능으로 생각한 드라이버 덕분에 NT AUTHORITY\SYSTEM 권한으로 실행 중입니다.

🕳️ RTCore64.sys란? (또는: "MSI Afterburner를 Ring 0 백도어로 바꾸는 방법") GPU 전압을 조정하기 위해 드라이버를 설치했다고 상상해보세요... 그리고 실수로 커널 메모리에 대한 전체 읽기/쓰기 액세스 권한을 얻는 겁니다.

이것이 CVE-2022–22077입니다. 너무나 아름답게 무모해서 capcom.sys가 부끄러운 사서함처럼 보이게 만드는 취약점입니다.

capcom.sys가 정중하게 콜백 실행을 요청하는 반면, RTCore64.sys는 질문도 없이 왕국의 열쇠를 건네줍니다.

"여기 IOCTL이 있습니다. 아무 주소나 쓰세요. 아무 값이나 읽으세요. 마음껏 하세요." — MSI, 아마

그리고 우리는 전문가이므로 DeviceIoControl을 무작정 호출하지 않습니다. SYSTEM 토큰을 훔치고, EPROCESS 구조를 패치하고, SYSTEM 셸을 생성합니다. GPU가 70°C에 도달하기도 전에요.

🔧 RTCore64.sys 작동 방식: IOCTL과 면책의 교향곡

이 디지털 강도의 다섯 막을 살펴보겠습니다.

설정: "저는 그저 게이머일 뿐입니다, 경관님" GPU를 오버클럭하기 위해 MSI Afterburner를 다운로드합니다. 무해하죠, 그렇죠?

틀렸습니다.

내부에는 RTCore64.sys — 서명된 취약한 드라이버가 있으며, 다음과 같은 IOCTL을 노출합니다.

0x80002048 → 커널 메모리 읽기 0x8000204c → 커널 메모리 쓰기 검증도, 정합성 검사도 없습니다. 그저 날것 그대로의, 필터링되지 않은 힘뿐입니다.

"샌드박스가 필요한 이유가 뭡니까? 커널이면 되죠." — MSI 엔지니어링 팀, 2019

로드: "BYOVD? 그냥 내 게이밍 장비를 가져오는 거죠" MSI Afterburner를 설치할 필요조차 없습니다.

그냥:

sc create RTCore64 binPath=C:\Windows\Temp\RTCore64.sys type=kernel

sc start RTCore64

빵. 커널 액세스 잠금 해제.

전제 조건: SeLoadDriverPrivilege (이미 가지고 있습니다, 당신이 그만큼 잘하기 때문이죠). 보너스: HVCI 비활성화 (스타일이 있는데 가상화가 필요할까요?).

익스플로잇: "바보와 천재를 위한 토큰 도난" 순서는 이렇습니다:

CreateFileW(L"\\.\RTCore64", ...) → 황금 티켓을 잡습니다. EnumDeviceDrivers() → ntoskrnl.exe 베이스를 찾습니다. 디스크에서 PsInitialSystemProcess를 파싱 → 오프셋을 얻습니다. SYSTEM의 EPROCESS를 읽습니다 → 토큰을 훔칩니다. 자신의 프로세스에 토큰을 씁니다 → 축하합니다, 당신은 신입니다. CreateProcessW(L"beacon.exe", ...) → 페이로드를 SYSTEM으로 실행합니다. 셸코드도, ROP 체인도 없습니다. 순수하고 때묻지 않은 커널 객체 조작입니다.

은폐: "로그? 무슨 로그?" wevtutil cl security

del C:\Windows\Temp\RTCore64.sys

sc delete RTCore64

휘. 사라졌습니다. RAM을 오버클럭하고 사라진 유령처럼.

자랑: "게임 드라이버로 LSASS를 덤프했습니다" 일단 SYSTEM이 되면:

tasklist /m mimilib.dll

eventcreate /t INFORMATION /id 1 /l APPLICATION /d “sekurlsa::logonpasswords”

type C:\Windows\System32\mimilsa.log

→ 도메인 관리자 해시? 확인. → 평문 비밀번호? 확인. → 골든 티켓? 곧 갑니다.

🛠️ RTCore64.sys가 레드 팀의 스위스 아미 나이프인 이유

✅ 서명된 드라이버 — 드라이버 서명 강제를 우회합니다 (Microsoft가 철회할 때까지 — 실제로 철회했지만, 누가 신경 쓰나요?).
✅ HVCI 없음? 문제 없음 — 가상화 기반 보안이 없는 시스템에서도 잘 작동합니다.
✅ 임의 커널 R/W — PsInitialSystemProcess 읽기, 토큰 쓰기, 콜백 패치 — 한계는 하늘입니다.
✅ 최소한의 발자국 — .sys와 작은 .exe만 있으면 됩니다. PowerShell, .NET, 복잡함 없음.
✅ 교육적 금광 — DKOM, BYOVD 또는 토큰 가장을 배우고 싶습니까? 여기가 실험실입니다.

🎭 하지만 잠깐 — 더 있습니다: LazyOwn 생태계

RTCore64.sys는 외로운 늑대가 아닙니다. LazyOwn RedTeam 프레임워크의 노드입니다. 모듈식이고, 확장 가능하며, 약간 정신나간 공격 도구 생태계입니다.

이것을 상상해보세요:

ShadowLink으로 셸코드 생성. LazyAddons로 난독화. RTCore64.sys 토큰 도난을 통해 전달. CreateProcessW로 SYSTEM으로 실행. 모두 Steam 다운로드처럼 보이는 C2에서 조율됩니다. 그리고 가장 좋은 점은? 모든 것이 오픈 소스입니다. 투명성이 최고의 작전 보안이기 때문입니다.

🎁 깜짝 선물: GPU를 탑재한 비콘

👉 직접 확인해보세요 (정신적으로, 새벽 4시에 이걸 찍고 있지는 않으니까) 농담입니다, 팝콘 들고 보세요:

https://www.youtube.com/shorts/V2tqH53LRIw

네. Windows beacon.exe입니다:

RTCore64.sys 토큰 도난을 통해 생성됨 NT AUTHORITY\SYSTEM으로 실행 중 C2로 콜백 모든 과정에서 작업 관리자는 "정상으로 보입니다"라고 말함 게다가 관리자로 실행되는 것도 아닙니다. 그냥 그렇게 좋습니다.

🛡️ 탐지? 잡는 방법 (블루 팀용)

저는 단순한 레드 팀원이 아닙니다. 책임감 있는 레드 팀원입니다. 그래서 무료 정보를 드립니다.

🔍 YARA 규칙 (기본 IOC)

yara

rule RTCore64_Based_Kernel_Exploit {

meta:

author = “LazyOwn BlueTeam”

description = “Detects RTCore64.sys exploitation via known IOCTLs and patterns”

license = “GPLv3”

strings:

$driver_name = “RTCore64.sys” ascii wide

$ioctl_read = { 80 00 20 48 } // 0x80002048

$ioctl_write = { 80 00 20 4C } // 0x8000204c

$create_device = “CreateFileW” ascii

$device_path = “\\.\RTCore64” ascii wide

$token_steal = “PsInitialSystemProcess” ascii

condition:

all of them

}

🕵️ 휴리스틱 알림

다음을 확인하세요:

C:\Program Files (x86)\MSI Afterburner\ 외부에서 로드된 RTCore64.sys 0x80002048 또는 0x8000204c를 사용한 DeviceIoControl 호출 낮은 권한에서 SYSTEM으로의 프로세스 토큰 변경 RTCore64를 대상으로 하는 sc create 또는 sc start 커널 메모리에서 PsInitialSystemProcess가 읽히는 경우 이 조합이 보인다면? RTCore 당한 것입니다.