在 ThreatFire System Monitor（v4.7.0.53）的内核模式 TfSysMon.sys 组件中发现了一个漏洞，允许非特权用户以内核模式权限执行任意进程终止操作。因此，PPL 和受保护的系统进程可以被强制停止，包括但不限于反恶意软件、EDR 解决方案、代理客户端等。这可能导致本地 EDR 绕过和拒绝服务。
如上所述，由于缺少适当的 DACL 来限制哪些用户能够或不能打开此驱动程序的 HANDLE，包括非管理员在内的低权限用户可以通过此易受攻击的驱动程序以内核权限自由终止 PPL 和其他受保护进程，或导致本地拒绝服务。
截至披露时，此版本的驱动程序似乎未包含在 Microsoft 的受阻驱动程序列表中，并且仍可能被威胁行为者在 BYOVD 场景中滥用。此外，驱动程序上的数字签名似乎仍然有效且未被撤销。
