O certificado expirou em 2022, mas a assinatura carrega um carimbo de data/hora de contra-assinatura confiável, então o Windows ainda o carrega. A revogação só ajuda se sua data preceder o momento da assinatura, o que raramente é o caso para drivers antigos como este.

O recurso de versão não possui CompanyName, OriginalFilename ou InternalName, então o arquivo não pode ser atribuído a um fornecedor a partir de seus próprios metadados.

A falha

Dois IOCTLs leem e escrevem memória física sem validação de limites ou endereço:

Ambos são METHOD_BUFFERED, então não há desreferência de ponteiro de usuário; o defeito é a validação ausente do endereço físico fornecido pelo chamador, não um ponteiro não verificado.

Vale destacar: o manipulador de escrita 0x8000649C é declarado como FILE_READ_ACCESS. Um handle aberto somente para leitura ainda pode emitir escritas físicas, então a máscara de acesso declarada não corresponde ao que o manipulador realmente faz.

Impacto

Abrir o dispositivo requer direitos de administrador, então isso não é uma travessia de limite de privilégio por si só. O que isso dá a um atacante que já é admin é leitura/escrita arbitrária de kernel a partir do modo usuário, o que derrota as proteções que deveriam resistir acima do admin: integridade de código HVCI, PPL e autoproteção de EDR/AV. Clássico bring-your-own-vulnerable-driver.

Como demonstração concreta, o PoC usa a primitiva de R/W para roubar o token do SYSTEM e gerar um shell SYSTEM.

CVSS 4.0: AV:L/AC:H/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H (8.7, Alto).

Como o exploit funciona

Tudo roda a partir do modo usuário contra os IOCTLs de R/W físico do driver. Não há percurso de tabela de páginas nem CR3 envolvido; ambos os processos são localizados escanenado a memória física diretamente:

1. Localizar o SYSTEM. Escaneie a memória física em busca de um EPROCESS cujo ImageFileName seja System e UniqueProcessId seja 4. A varredura é limitada aos intervalos de RAM populados lidos da chave de registro HARDWARE\RESOURCEMAP\...\Physical Memory do firmware, não uma janela adivinhada, então buracos de MMIO nunca são tocados e nada acima da RAM instalada é perdido.
2. Ler o token do SYSTEM. Leia o campo Token (EPROC_TOKEN) do EPROCESS localizado.
3. Localizar nosso processo. Escaneie a memória física da mesma forma em busca do próprio EPROCESS do PoC, correspondendo o nome da imagem como um padrão de 8 bytes e confirmando com seu PID.
4. Trocar o token. Escreva o valor do token do SYSTEM em nosso próprio slot Token. O token é um _EX_FAST_REF, então os bits baixos de contagem de referência são mascarados por padrão (--mask seleciona o comportamento).
5. Provar. Gere cmd.exe; whoami retorna NT AUTHORITY\SYSTEM.

Os offsets (EPROC_TOKEN, EPROC_PID, EPROC_IMG_NAME, etc.) são para uma build específica e devem ser confirmados contra dt nt!_EPROCESS na versão alvo do Windows.

O nome do executável importa. O passo 3 localiza nosso próprio processo correspondendo seu ImageFileName na memória física, e esse campo é limitado a 15 caracteres com a varredura correspondendo aos primeiros 8. Mantenha o nome compilado curto e distinto; se você renomear o binário, fique dentro desse limite ou a auto-varredura não encontrará o processo.

O nome do dispositivo é controlado pelo atacante

O driver não usa um nome de dispositivo fixo. Ele deriva o nome do objeto de dispositivo a partir do nome do serviço sob o qual está registrado; o nome do arquivo em disco é irrelevante. Registrar o binário sob o serviço TRIXX produz \\.\TRIXX independentemente do nome do arquivo em disco.

Então qualquer detecção baseada em \Device\ThrottleStop ou ThrottleStop.sys é trivialmente contornada. A detecção precisa ser baseada no hash do arquivo ou no certificado de assinatura:

A lista DEVICE_NAMES no código-fonte é apenas uma sondagem para instalações conhecidas do produto. Passe um nome de dispositivo como argumento para direcionar a um serviço que você mesmo registrou.

Drivers relacionados da TechPowerUp

O driver não está incluído

O binário não é distribuído aqui. Verifique qualquer cópia contra o SHA256 acima. A amostra está catalogada em LOLDrivers.

Compilação

Uso

Apenas para uso em laboratório. Execute dentro de uma VM isolada com um snapshot para o qual reverter.

O binário não aceita argumentos. Ele imprime o mapa de memória física, escaneia em busca do EPROCESS do SYSTEM e local, troca o token e gera cmd.exe rodando como NT AUTHORITY\SYSTEM.

Demonstração

Outros PoCs e trabalhos anteriores

Outros trabalhos públicos sobre o mesmo driver, para comparação:

• Demoo1337/ThrottleStop — PoC anterior para os mesmos IOCTLs
• xM0kht4r/CVE-2025-7771 — R/W físico mais VA-para-PA via Superfetch
• AmrHuss/throttlestop-exploit-rw — R/W físico com tradução de endereço via Superfetch
• v31l0x1/ThrottleStopPPL — bypass de proteção PPL
• Yuri08loveElaina/CVE-2025-7771 — outra implementação

Créditos

• LOLDrivers — catalogação de drivers vulneráveis

Aviso legal

Publicado para pesquisa defensiva e engenharia de detecção. A vulnerabilidade já é pública como CVE-2025-7771. Tudo aqui foi testado em sistemas de propriedade do autor. Não execute isso contra sistemas que você não possui ou não está autorizado a testar.