CVE-2025-61155 — Terminação Arbitrária de Processos no GameDriverX64.sys

Um driver anti-trapaça de modo kernel assinado — GameDriverX64.sys, distribuído com Tower of Fantasy (Hotta Studio / Perfect World) — permite que qualquer usuário local não privilegiado termine processos arbitrários, incluindo serviços de antivírus/EDR protegidos por PPL. É o tipo de primitiva que operadores de ransomware buscam, e está sendo ativamente abusado na natureza pela operação Interlock como um BYOVD matador de EDR.

Este repositório é uma análise completa e reproduzível: o aviso de segurança, uma análise original de engenharia reversa com IDA Pro, uma prova de conceito e conteúdo de detecção e mitigação pronto para uso.

Pesquisadores: Gabriel Maciel Ramos · Anthony Sforzin · Gabriel Gomes

Demo

Prova de conceito terminando um processo alvo através do driver. O player embutido não está renderizando? Baixe o clipe.

De relance

A cadeia de exploração

1. LoadLibrary a DLL named QmGUI.dll / QmGUI4.dll / gameuirender.dll
   └─ passa a "verificação" apenas do nome do arquivo em IRP_MJ_CREATE

2. CreateFile("\\.\HtAntiCheatDriver")          ← DACL padrão, qualquer usuário pode abrir

3. DeviceIoControl(0x222040, {0xFA123456, pid}) ← única barreira é um magic embutido

4. Driver: ZwOpenProcess(GENERIC_ALL) → ZwTerminateProcess
   └─ executa com PreviousMode == KernelMode → verificação de acesso ignorada
   └─ mata QUALQUER processo, incluindo AV/EDR protegidos

Três "barreiras", todas derrotadas: o dispositivo não tem ACL restrita a administradores, a verificação CREATE compara uma string de nome de módulo (forje-a carregando qualquer DLL de mesmo nome), e a porta IOCTL é uma constante inserida no binário. A eliminação então é executada no kernel, então a proteção de processo (PPL) não se aplica. Explicação completa em docs/01-technical-analysis.md.

Mapa do repositório

Engenharia reversa

A análise em docs/01-technical-analysis.md foi produzida estaticamente no IDA Pro 9.4 + Hex-Rays contra a amostra vulnerável e legitimamente assinada (SHA-256 9DDAE4…3C9F1E, veja sample/SAMPLE.md). Cada endereço, constante e trecho descompilado neste repositório foi extraído diretamente do binário e corrobora independentemente os relatos públicos sobre as ferramentas usadas na natureza.

Defensores: comece aqui

1. Bloqueie o driver através da Lista de Bloqueio de Drivers Vulneráveis da Microsoft (HVCI) e/ou uma regra de negação do WDAC — docs/04-mitigation.md.
2. Procure com as regras YARA e IOCs — detection/.
3. Detecte a exploração (aberturas de dispositivo, o IOCTL 0x222040, eliminações de processos originadas no kernel) — docs/03-detection.md.

Aviso Legal

Apenas para segurança defensiva, engenharia de detecção, educação e pesquisa. Use a prova de conceito apenas em sistemas que você possui ou está autorizado a testar. Veja SECURITY.md. O binário do driver vulnerável intencionalmente não está incluído.

Referências

• NVD — https://nvd.nist.gov/vuln/detail/CVE-2025-61155
• MITRE / CVE.org — https://www.cve.org/CVERecord?id=CVE-2025-61155
• Aviso do GitHub — https://github.com/advisories/GHSA-9qfv-m6w2-fhch
• Canonical advisory (co-author) — https://github.com/pollotherunner/CVE-2025-61155
• FortiGuard Labs — https://www.fortinet.com/blog/threat-research/interlock-ransomware-new-techniques-same-old-tricks
• Securonix — https://connect.securonix.com/threat-research-intelligence-62/cve-2025-61155-and-interlock-ransomware-a-converging-threat-198
• Vespalec, "Tower of Flaws" — https://vespalec.com/blog/tower-of-flaws/