CVE-2023-38817

echo.ac의 드라이버에서 발견된 취약점에 대한 PoC 및 분석 글.

CVE 정보

• 번호: CVE-2023-38817
• 공급업체: Inspect Element Ltd (13017981), Echo라는 상호로 영업 중.
• 영향받는 제품: echo.ac 안티치트 스캐너 도구.
• 영향받는 버전: echo.ac - <5.2.1.0, echo_driver.sys - 모든 배포 버전.
• 영향받는 운영체제: Windows 7부터 Windows 11까지의 64비트 Windows 버전.
• 완화 방법: 해당 소프트웨어를 사용하지 말고, 드라이버 서명을 블랙리스트에 추가하십시오.

## 인증서 폐기됨

Microsoft는 Echo 드라이버를 취약한 드라이버 차단 목록에 추가했고 인증서는 폐기되었습니다 (Echo 팀이 익스플로잇이 실제가 아니라고 주장한 이후에도).

어, 아니 근데? 여전히 작동하는 것 같네요 ㅋㅋ

여전히 이 익스플로잇을 사용하고 싶다면, 테스트 서명을 활성화하고 Microsoft 취약한 드라이버 차단 목록을 비활성화해야 합니다.

💕 크레딧

• Whanos: https://github.com/Whanos/ - 최초 발견, echo.ac와의 첫 접촉, 작성.
• Lemon (익명 유지 희망) - 익스플로잇 개발 및 지원.
• kite03: https://github.com/kite03/ - 익스플로잇 개발 및 작성.

상세 분석 글 링크

https://ioctl.fail/echo-ac-writeup/

드라이버 다운로드

보안상의 이유로 이 저장소에서 바이너리를 제거했습니다.

추가 정보를 읽고 드라이버 바이너리를 공식 loldrivers.io 페이지에서 다운로드할 수 있습니다: https://www.loldrivers.io/drivers/afb8bb46-1d13-407d-9866-1daa7c82ca63/

배경

echo.ac는 상업용 "스크린셰어링 도구"로, 주로 Minecraft PvP 커뮤니티를 위해 마케팅되고 개발되었지만 Rust와 같은 일부 다른 게임 커뮤니티에서도 사용됩니다. "스크린셰어링 도구"는 서버 관리자가 누군가가 게임 내에서 치트나 이와 유사한 금지된 외부 도구를 사용하고 있는지 식별하는 것을 "지원"하기 위해 개발된 프로그램입니다 - 따라서 이러한 프로그램은 사용자 컴퓨터에서 수많은 침입적 스캔을 실행하면서, 어떤 데이터를 왜 수집하는지에 대해서는 매우 모호합니다.

Echo는 연락을 받았을 때 이 버그를 인정하기를 거부했습니다.

시간 내주셔서 감사합니다 💜.