CVE-2025-61155 — Произвольное завершение процессов в GameDriverX64.sys

Подписанный драйвер античита в режиме ядра — GameDriverX64.sys, поставляемый с Tower of Fantasy (Hotta Studio / Perfect World) — позволяет любому непривилегированному локальному пользователю завершать произвольные процессы, включая PPL-защищенные службы антивируса/EDR. Это примитив, к которому стремятся операторы программ-вымогателей, и он активно используется в реальных атаках операцией Interlock в качестве BYOVD-средства уничтожения EDR.

Этот репозиторий представляет собой полный, воспроизводимый разбор: advisory безопасности, оригинальный анализ обратной разработки в IDA Pro, proof of concept и готовые к использованию средства обнаружения и смягчения.

Исследователи: Gabriel Maciel Ramos · Anthony Sforzin · Gabriel Gomes

Demo

Proof of concept, завершающий целевой процесс через драйвер. Встроенный плеер не отображается? Скачать клип.

Краткий обзор

Эксплойт-цепочка

1. LoadLibrary DLL с именем QmGUI.dll / QmGUI4.dll / gameuirender.dll
   └─ проходит проверку только по имени файла в IRP_MJ_CREATE

2. CreateFile("\\.\HtAntiCheatDriver")          ← стандартный DACL, любой пользователь может открыть

3. DeviceIoControl(0x222040, {0xFA123456, pid}) ← единственный шлюз — жестко заданное магическое число

4. Драйвер: ZwOpenProcess(GENERIC_ALL) → ZwTerminateProcess
   └─ выполняется с PreviousMode == KernelMode → проверка доступа пропущена
   └─ убивает ЛЮБОЙ процесс, включая защищенные AV/EDR

Три «ограждения», все обойдены: устройство не имеет ACL только для администраторов, проверка CREATE сравнивает строку имени модуля (подделать ее, загрузив любую DLL с тем же именем), а шлюз IOCTL — это константа, вшитая в бинарник. Убийство затем выполняется в ядре, поэтому защита процесса (PPL) не действует. Полное описание в docs/01-technical-analysis.md.

Карта репозитория

Обратная разработка

Анализ в docs/01-technical-analysis.md был выполнен статически в IDA Pro 9.4 + Hex-Rays на подписанном уязвимом образце (SHA-256 9DDAE4…3C9F1E, см. sample/SAMPLE.md). Каждый адрес, константа и декомпилированный фрагмент в этом репозитории были взяты непосредственно из бинарника и независимо подтверждают публичные сообщения об инструментарии, используемом в реальных атаках.

Защитникам: начать здесь

1. Заблокируйте драйвер с помощью списка блокировки уязвимых драйверов Microsoft (HVCI) и/или правила запрета WDAC — docs/04-mitigation.md.
2. Охотьтесь с помощью правил YARA и IOCs — detection/.
3. Обнаруживайте эксплуатацию (открытие устройства, IOCTL 0x222040, завершение процессов из ядра) — docs/03-detection.md.

Отказ от ответственности

Только для защитной безопасности, разработки средств обнаружения, образования и исследований. Используйте proof of concept только на системах, которыми вы владеете или на тестирование которых у вас есть разрешение. См. SECURITY.md. Бинарник уязвимого драйвера намеренно не включен.

Ссылки

• NVD — https://nvd.nist.gov/vuln/detail/CVE-2025-61155
• MITRE / CVE.org — https://www.cve.org/CVERecord?id=CVE-2025-61155
• GitHub Advisory — https://github.com/advisories/GHSA-9qfv-m6w2-fhch
• Canonical advisory (соавтор) — https://github.com/pollotherunner/CVE-2025-61155
• FortiGuard Labs — https://www.fortinet.com/blog/threat-research/interlock-ransomware-new-techniques-same-old-tricks
• Securonix — https://connect.securonix.com/threat-research-intelligence-62/cve-2025-61155-and-interlock-ransomware-a-converging-threat-198
• Vespalec, "Tower of Flaws" — https://vespalec.com/blog/tower-of-flaws/