✅ CVE-2022-22077 利用框架 RTCore64.sys：

本文档全面概述了 CVE-2022-22077 利用框架，这是一个针对 RTCore64.sys 驱动程序漏洞的高级 BYOVD（自带易受攻击驱动程序）攻击工具包。该框架展示了用于教育和安全研究目的的高级 Windows 内核利用技术。

涵盖内容包括漏洞的技术基础、框架架构以及与更广泛的 LazyOwn RedTeam 工具集的集成。有关详细的漏洞分析，请参阅漏洞分析。有关各个组件的具体实现细节，请参阅利用框架。

🚨 CVE-2022-22077 — MSI Center / Dragon Center — 通过 RTCore64.sys 实现任意内存读写

CVE-2022-22077 是一个影响 MSI Center 和 Dragon Center 应用程序分发的 RTCore64.sys 驱动程序的高严重性漏洞（CVSS 评分 7.8）。该漏洞源于暴露的 IOCTL 接口，允许非特权用户执行任意物理内存读写，从而有效绕过所有 Windows 内核安全机制。

主要影响领域：

• 本地权限提升至 SYSTEM
• 绕过 EDR/AV 的能力
• 内核模式代码执行
• Rootkit 安装潜力

阶段

阶段 1：环境准备

• 文件：install.sh - 设置 mingw-w64 交叉编译环境
• 文件：build.sh - 从 Linux 主机编译 Windows 可执行文件
• 集成：通过 CVE-2022-22077.yaml 进行 LazyOwn 框架配置

阶段 2：自动部署

• 文件：payload.ps1 - PowerShell 脚本处理：
• 权限验证（SeLoadDriverPrivilege）
• VBS/HVCI 兼容性检查
• 从远程服务器下载驱动程序和利用程序
• Windows 服务的创建和管理

阶段 3：内核利用

• 文件：exploit.c - 实现以下功能的本地代码：
• RTCore64.sys 设备通信
• SYSTEM 进程令牌提取
• 当前进程令牌替换
• 权限提升验证

内存操作架构

该框架通过使用 RTCore64.sys 驱动程序漏洞的结构化方法实现内核内存访问：

文章

RTCore64 编年史：当你的 GPU 调谐器成为内核刺客（以及为什么这是一个特性，而不是一个 bug）

作者：grisun0，内核混沌首席架构师 & 兼职驱动低语者 - LazyOwn RedTeam

阅读时间 7 分钟 · 发表于凌晨 3:33，因为“HVCI？我从未见过她。”

“拥有系统的最佳方式是向它自己的驱动程序请求许可——礼貌地，使用 IOCTL。” —— grisun0，大概在穿着内裤逆向分析 MSI Afterburner 时说的

让我们跳过假装这是正常的环节。

如果你正在读这篇文章，你可能是：

• 一位红队成员，刚刚一边喝着抹茶一边把 RTCore64.sys 变成了内核后门，
• 一位蓝队成员，盯着 ProcMon 中的 \.\RTCore64 想：“为什么我的 GPU 需要读取 PsInitialSystemProcess？”，
• 或者某个谷歌搜索“如何用游戏驱动程序成为 SYSTEM”并最终来到此处的人。 （剧透：这不仅可能——而且很优雅。）

欢迎来到 LazyOwn RedTeam™，我们不绕过安全——我们邀请它共进晚餐，然后偷走它的钱包。

今天，我向你介绍 RTCore64.sys——不是驱动程序，不是工具，而是一个完全成熟的内核利用程序，伪装成超频 RTX 3090 的实用程序。

而且是的——有一个转折。

剧透：它仍然使用 cmd.exe。 更大的剧透：现在它也使用 beacon.exe。 更大的剧透：两者现在都以 NT AUTHORITY\SYSTEM 权限运行，这要感谢一个认为“任意内核内存访问”是一个生活质量功能的驱动程序。

🕳️ RTCore64.sys 是什么？（或者：“如何将 MSI Afterburner 变成 Ring 0 后门”） 想象一下安装一个驱动程序来调整你的 GPU 电压……然后意外地给了自己内核内存的完全读写权限。

这就是 CVE-2022–22077——一个如此美丽鲁莽的漏洞，它让 capcom.sys 看起来像一个害羞的图书管理员。

当 capcom.sys 礼貌地要求执行你的回调时，RTCore64.sys 直接把王国的钥匙交给你——不问任何问题。

“给你一个 IOCTL。写任意地址。读任意值。尽情发挥。” —— MSI，大概

而且因为我们是专业人士，我们不会随机使用 DeviceIoControl。我们偷取 SYSTEM 令牌，修补 EPROCESS 结构，生成 SYSTEM 外壳——所有这一切都在你的 GPU 达到 70°C 之前完成。

🔧 RTCore64.sys 如何工作：IOCTL 和逍遥法外的交响曲

让我带你走过这场数字劫案的五幕：

1. 设置：“警官，我只是个玩家” 你下载了 MSI Afterburner 来超频你的 GPU。无害，对吧？

错。

里面隐藏着 RTCore64.sys——一个已签名、易受攻击的驱动程序，暴露了如下 IOCTL：

0x80002048 → 读取内核内存 0x8000204c → 写入内核内存 没有验证。没有合理性检查。只有原始的、未经过滤的力量。

“为什么要沙盒，当你可以进入内核？” —— MSI 工程团队，2019

2. 加载：“BYOVD？更像是自带游戏主机” 你甚至不需要安装 MSI Afterburner。

只需：

sc create RTCore64 binPath=C:\Windows\Temp\RTCore64.sys type=kernel

sc start RTCore64

轰。内核访问解锁。

前提：SeLoadDriverPrivilege（你已经拥有，因为你足够优秀）。 额外收获：HVCI 已禁用（因为当你有风格时，谁还需要虚拟化？）。

3. 利用：“令牌窃取傻瓜指南（也是天才指南）” 顺序如下：

CreateFileW(L"\\.\RTCore64", ...) → 抓住金票。 EnumDeviceDrivers() → 找到 ntoskrnl.exe 基址。 从磁盘解析 PsInitialSystemProcess → 获取偏移量。 读取 SYSTEM 的 EPROCESS → 偷取其令牌。 将令牌写入你自己的进程 → 恭喜，你是上帝了。 CreateProcessW(L"beacon.exe", ...) → 以 SYSTEM 身份生成你的负载。 没有 shellcode。没有 ROP 链。只有纯粹、未掺杂的内核对象操作。

4. 掩盖：“日志？什么日志？” wevtutil cl security

del C:\Windows\Temp\RTCore64.sys

sc delete RTCore64

噗。消失了。就像一个超频了你 RAM 然后消失的幽灵。

5. 炫耀：“我用游戏驱动程序转储了 LSASS” 一旦你是 SYSTEM：

tasklist /m mimilib.dll

eventcreate /t INFORMATION /id 1 /l APPLICATION /d “sekurlsa::logonpasswords”

type C:\Windows\System32\mimilsa.log

→ 域管理员哈希？有。 → 明文密码？有。 → 黄金票据？马上就来。

🛠️ 为什么 RTCore64.sys 是红队成员的瑞士军刀

• ✅ 已签名驱动程序——绕过驱动程序签名强制（直到微软撤销它——他们确实这样做了，但谁在检查？）。
• ✅ 没有 HVCI？没问题——在没有虚拟化安全性的系统上完美运行。
• ✅ 任意内核读写——读取 PsInitialSystemProcess，写入令牌，修补回调——天空才是极限。
• ✅ 最小足迹——只是一个 .sys 和一个小 .exe。没有 PowerShell，没有 .NET，没有麻烦。
• ✅ 教育金矿——想学习 DKOM、BYOVD 或令牌模拟？这就是你的实验室。

🎭 但等等——还有更多：LazyOwn 生态系统

RTCore64.sys 不是独狼。 它是 LazyOwn RedTeam 框架中的一个节点——一个模块化、可扩展且稍微有点不正常的进攻工具生态系统。

想象一下：

用 ShadowLink 生成 shellcode。 用 LazyAddons 混淆它。 通过 RTCore64.sys 令牌窃取交付它。 通过 CreateProcessW 以 SYSTEM 身份执行它。 所有这一切都由一个看起来像 Steam 下载的 C2 协调。 最棒的部分？ 这一切都是开源的。 因为透明度是最好的操作安全。

🎁 惊喜：带有 GPU 的信标

👉 观看它的实际操作（在心里，因为我不会在凌晨 4 点录制这个）只是开玩笑拿爆米花看：

https://www.youtube.com/shorts/V2tqH53LRIw

是的。那是一个 Windows beacon.exe：

通过 RTCore64.sys 令牌窃取生成 以 NT AUTHORITY\SYSTEM 身份运行 回调到你的 C2 所有这一切都在任务管理器说“看起来正常”时发生 它甚至不是以管理员身份运行。 就是这么好。

🛡️ 检测？以下是如何抓住它（为蓝队）

我不只是一个红队成员。我是一个负责任的红队成员。所以这是免费情报：

🔍 YARA 规则（基本 IOC）

yara

rule RTCore64_Based_Kernel_Exploit {

meta:

author = “LazyOwn BlueTeam”

description = “通过已知 IOCTL 和模式检测 RTCore64.sys 利用”

license = “GPLv3”

strings:

$driver_name = “RTCore64.sys” ascii wide

$ioctl_read = { 80 00 20 48 } // 0x80002048

$ioctl_write = { 80 00 20 4C } // 0x8000204c

$create_device = “CreateFileW” ascii

$device_path = “\\.\RTCore64” ascii wide

$token_steal = “PsInitialSystemProcess” ascii

condition:

all of them

}

🕵️ 启发式告警

查找：

RTCore64.sys 在 C:\Program Files (x86)\MSI Afterburner\ 之外加载 DeviceIoControl 调用带有 0x80002048 或 0x8000204c 进程令牌从低权限更改为 SYSTEM sc create 或 sc start 针对 RTCore64 从内核内存中读取 PsInitialSystemProcess 如果你看到这个组合？ 你已经被 RTCore 了。

⚠️ 免责声明（因为现实有律师）

此工具仅用于教育和道德红队活动。

不要在你没有所有权或明确许可的系统上使用它。

误用可能导致：

被解雇 被起诉 你的 GPU 产生上帝情结 微软再次撤销你的驱动程序签名 你妈妈问你为什么又在“黑客政府” 我不承担任何责任。牛仔，你靠自己了。