BadRentdrv2

제가 악용한 취약한 드라이버(BYOVD)로, 현재 시장에 있는 여러 EDR 및 안티바이러스 소프트웨어를 종료하여 무력화할 수 있으며, x32와 x64 모두에서 작동합니다.

작동 방식

더 넓은 공격 범위를 위해 레거시 x32 아키텍처를 대상으로 컴파일합니다.

상승된 명령 프롬프트(관리자)에서 다음 명령줄을 사용하십시오:

BadRentdrv2.exe <PID>

이 명령은 보호된 프로세스를 어려움 없이 종료합니다.

참고: 이 개념 증명에서는 PID를 사용하여 프로세스를 종료하도록만 프로그래밍했습니다. 프로세스 이름으로 종료하거나 부모 프로세스 이름으로 프로세스와 그 하위 프로세스를 종료하는 등 다른 방법도 지원합니다. 이를 수행하려면 간단히 약간 수정하면 작동합니다. 작동 방식을 이해하려면 개념 증명 코드를 읽어주십시오.

시장에서 가장 잘 알려진 보안 시스템에 대한 테스트:

360 Antivirus

Kaspersky Antivirus

Avast Antivirus

AVG Antivirus

Panda Antivirus

Windows Defender

드라이버 해시

개발 회사에 연락할 수 없어 취약점을 공개했습니다.

타임라인

• 연락 #1(응답 없음).
• 연락 #2(응답 없음).
• 회사와의 연락 부재에 대해 Mitre에 알리고 CVE 발급됨(연락 시도용).
• 연락 #3 (CVE 번호와 함께 마지막 이메일 발송, 14일 응답 기한 부여).
• 공개(응답 없음).
• APT의 일부 바보들이 멀웨어에 사용(공개 당일) – Unit42-Team의 매우 훌륭한 기사로 설명됨(해당 팀은 드라이버의 취약점으로 조사하고 지정한 점에서 제 존경을 받음).
• Microsoft의 위협 인텔리전스 팀에 알림 전송.
• Microsoft가 보고에 감사하는 이메일을 회신.
• Microsoft 위협 인텔리전스 팀에 의해 드라이버와 회사 계정 차단됨.
• "Microsoft 권장 드라이버 차단 규칙"에 게시됨.
• 회사가 응답하지 않아 CVE를 게시하지 않았으며, 강제 게시를 원하지 않음.
• (2024/12/24) 드라이버 개발자로부터 연락을 받았으며, 취약점이 적절히 수정되었음을 확인받음. 이로써 책임 있는 공개 절차가 종료됨.

rentdrv2_x32 - 1aed62a63b4802e599bbd33162319129501d603cceeb5e1eb22fd4733b3018a3

rentdrv2_x64 - 9165d4f3036919a96b86d24b64d75d692802c7513f2b3054b20be40c212240a5