mein-0/lolmodapiExploit de escalonamento de privilégios local para o driver MODAPI.sys do MSI Dragon Center, abusando de escritas MSR não autenticadas para contornar o SMEP e obter SYSTEM.
oi hackers.
Este é um MSR write não autenticado dentro do MODAPI.sys, o driver de kernel que o MSI Dragon Center 2.0.155.0 instala. O driver expõe um objeto de dispositivo com um descritor de segurança que permite a qualquer usuário local abri-lo, sem admin e sem UAC. Uma vez que você tem o handle, não há whitelist no índice MSR, então você pode ler e escrever qualquer MSR que quiser.
O lado da leitura já quebra o KASLR por si só. Leia IA32_LSTAR (0xC0000082) e o driver entrega ntoskrnl!KiSystemCall64 de graça. O lado da escrita é o verdadeiro problema. IA32_LSTAR é o endereço para o qual a CPU salta em syscall, e o driver permite que um usuário normal o sobrescreva. Aponte-o para código que você controla e a próxima syscall executa seu código em CPL0. SMEP é a única coisa no caminho, então o exploit lê IA32_LSTAR primeiro para encontrar ntoskrnl, analisa a imagem do disco, encontra alguns gadgets para limpar SMEP com mov cr4, rax, executa um pequeno shellcode que copia o token SYSTEM para o processo atual, e restaura IA32_LSTAR na saída para que a máquina continue funcionando.
Testei isso no Windows 10 x64 22H2 (build 19045.6456) a partir de uma conta de usuário padrão. Não há race nem heap grooming, funcionou todas as vezes que executei. O driver vem com o Dragon Center em máquinas MSI, então já está carregado em muitos sistemas. Compile com gcc -O2 -o poc.exe poc.c -lpsapi e execute como um usuário normal. Foi reportado à MSI em 2026-06-21 e a correção foi verificada.
11bd2c9f9e2397c9a16e0990e4ed2cf0679498fe0fd418a3dfdac60b5c160ee5 MODAPI.sys
