MercilessAmd

привет, хакеры.

AmdTools64.sys — это подписанный драйвер Special Tools, который поставляется вместе с AMD uProf. Никакого обхода UAC, никакой границы стандартного пользователя. Как только у вас есть хэндл, на индекс MSR нет никакого белого списка, так что вы можете читать и записывать любой MSR, какой захотите.

Сторона чтения уже сама по себе ломает KASLR. Прочитайте IA32_LSTAR (0xC0000082), и драйвер бесплатно отдаст вам ntoskrnl!KiSystemCall64. Сторона записи — вот настоящая проблема. IA32_LSTAR — это адрес, на который CPU переходит при каждом системном вызове, и драйвер позволяет обычному пользователю перезаписать его. Направьте его на код, который вы контролируете, и следующий системный вызов выполнит ваш код на уровне CPL0. Единственное, что мешает, — это SMEP, поэтому эксплойт сначала читает IA32_LSTAR, чтобы найти ntoskrnl, разбирает каталог импорта с диска, находит пару гаджетов для отключения SMEP через mov cr4, rax, запускает небольшой шеллкод, который копирует токен SYSTEM в текущий процесс, и на выходе восстанавливает IA32_LSTAR, чтобы машина продолжала работать.

Есть два IOCTL, и это вся история. 0xFFF02804 читает MSR, а 0xFFF02808 записывает его, оба с 20-байтовым буфером и без проверки индекса. Диспетчер проверяет только длины буферов. Есть также чтение/запись физической памяти и отображение физической памяти в пользовательский режим (0xFFF0281C, 0xFFF02820, 0xFFF028A4), но путь через отображение может вызвать PFN_LIST_CORRUPT на произвольной RAM, поэтому здесь используется путь через MSR.

Я тестировал это на Windows 10 x64 22H2 (сборка 19045.6456) с AMD uProf 5.3.521.0. Версия драйвера — 1.7.16.218. Никаких гонок и никакого хил-груминга, это срабатывало каждый раз, когда я запускал. Драйвер поставляется вместе с uProf и установлен на многих машинах AMD, так что он уже загружен за вас. На скриншоте машина с Win10: whoami — это subhan\windows10 до, nt authority\system после.

На Windows 11 26300 я смог установить драйвер и прочитать IA32_LSTAR, но wrmsr в LSTAR завершается неудачей, когда включена Memory Integrity, — VBS/HVCI перехватывает это. Известная раскладка EPROCESS для Win11 — это UniqueProcessId 0x1D0, ActiveProcessLinks 0x1D8, Token 0x248, ImageFileName 0x338, сверенная с PsGetProcessId, PsReferenceProcessToken и PsGetProcessImageFileName в той сборке.

Ценность — это подписанный драйвер и примитив уровня ядра: администратор может загрузить драйвер AMD и получить выполнение кода в ring-0. Цепочка LSTAR-to-SYSTEM здесь — это часть эксплойта, а не обнаружение нового драйвера.

Я сообщил об этом в AMD PSIRT 2026-08-17. Однако они сделали всё от них зависящее, чтобы избежать признания этого пробела, — они даже заблокировали меня в Gmail, чтобы я больше не мог отправлять им письма со своего собственного адреса. Это только начало; в дальнейшем я не буду делиться своими находками, касающимися продуктов AMD, с ними напрямую или через их другие каналы. Я продолжу делиться всем прямо здесь. Оставайтесь на связи и продолжайте хакать!