BadRentdrv2

Um driver vulnerável explorado por mim (BYOVD) que é capaz de encerrar vários EDRs e softwares antivírus do mercado, tornando-os ineficazes, funcionando tanto para x32 quanto para x64.

Como funciona?

Compile visando a arquitetura x32 legada para um maior alcance de ataque.

Em um prompt de comando elevado (Admin), use a seguinte linha de comando:

BadRentdrv2.exe <PID>

Isso encerrará o processo protegido sem qualquer dificuldade.

Nota: Nesta prova de conceito, programei apenas para encerrar o processo usando o PID. Ele suporta outros métodos, como encerrar pelo nome do processo e encerrar o processo e seus processos filhos pelo nome do processo pai. Para fazer isso, basta fazer uma pequena modificação e funcionará. Por favor, leia o código da prova de conceito para entender.

Testes nos sistemas de segurança mais conhecidos do mercado:

360 Antivirus

Kaspersky Antivirus

Avast Antivirus

AVG Antivirus

Panda Antivirus

Windows Defender

Hash do Driver

Publiquei a vulnerabilidade porque não consegui entrar em contato com a empresa desenvolvedora para reportá-la

Cronologia

• Contato #1 (Sem resposta).
• Contato #2 (Sem resposta).
• Notificado à Mitre sobre a falta de contato com a empresa e CVE emitido para tentar contato.
• Contato #3 (Enviei um último e-mail com o número do CVE, com 14 dias para resposta).
• Publicado (Sem resposta).
• Alguns idiotas da APT usaram isso em malwares (no mesmo dia em que publiquei) - Explicado em um artigo muito legal pela Unit42-Team (e sua equipe tem meu respeito porque investigaram e apontaram como uma vulnerabilidade no driver também).
• Uma notificação foi enviada para a equipe de inteligência de ameaças da Microsoft.
• A Microsoft enviou de volta um e-mail agradecendo pelo relatório.
• O driver e a conta da empresa foram bloqueados pela Equipe de Inteligência de Ameaças da Microsoft.
• Publicado nas "Regras de bloqueio de driver recomendadas pela Microsoft".
• Não publiquei o CVE porque a empresa não me respondeu e não gosto de forçar a publicação.
• (24/12/2024) Recebi contato do desenvolvedor responsável pelo driver, que me assegurou que a vulnerabilidade foi devidamente corrigida. Isso conclui assim o processo de divulgação pública responsável.

rentdrv2_x32 - 1aed62a63b4802e599bbd33162319129501d603cceeb5e1eb22fd4733b3018a3

rentdrv2_x64 - 9165d4f3036919a96b86d24b64d75d692802c7513f2b3054b20be40c212240a5