CVE-2025-61155 — GameDriverX64.sys中的任意进程终止

一个经过签名的内核模式反作弊驱动程序——GameDriverX64.sys，随幻塔（Hotta Studio / Perfect World）一同提供——允许任何非特权本地用户终止任意进程，包括受PPL保护的杀毒软件/EDR服务。这是勒索软件操作者会利用的那种原语，并且目前正在被Interlock组织在野积极滥用作为BYOVD EDR-killer。

本仓库是一个完整且可重现的拆解：安全公告、原始IDA Pro逆向工程分析、概念验证（PoC）以及现成的检测与缓解内容。

研究人员： Gabriel Maciel Ramos · Anthony Sforzin · Gabriel Gomes

演示

通过驱动程序终止目标进程的概念验证演示。内嵌播放器未渲染？下载视频片段。

概览

利用链

1. LoadLibrary 一个名为 QmGUI.dll / QmGUI4.dll / gameuirender.dll 的 DLL
   └─ 通过文件名仅通过 IRP_MJ_CREATE 中的“验证”

2. CreateFile("\\.\HtAntiCheatDriver")          ← 默认 DACL，任何用户均可打开

3. DeviceIoControl(0x222040, {0xFA123456, pid}) ← 唯一门槛是硬编码的魔法值

4. 驱动程序：ZwOpenProcess(GENERIC_ALL) → ZwTerminateProcess
   └─ 以 PreviousMode == KernelMode 运行 → 跳过访问检查
   └─ 杀死任意进程，包括受保护的 AV/EDR

三个“防护栏”全部被攻破：设备没有管理员的ACL，CREATE检查比较模块名称字符串（通过加载任何同名的DLL即可伪造），IOCTL门控是一个硬编码在二进制文件中的常量。终止操作在内核中运行，因此进程保护（PPL）不适用。完整详细说明见docs/01-technical-analysis.md。

仓库结构

逆向工程

docs/01-technical-analysis.md 中的分析是对经合法签名的易受攻击样本 (SHA-256 9DDAE4…3C9F1E，见 sample/SAMPLE.md) 使用 IDA Pro 9.4 + Hex-Rays 进行静态分析得到的。本仓库中的每个地址、常量和反编译片段均直接从二进制文件中提取，并与关于在野工具的公开报告相互印证。

防御者：从这里开始

1. 阻止 驱动程序 — 通过 Microsoft 易受攻击驱动程序阻止列表 (HVCI) 和/或 WDAC 拒绝规则 — docs/04-mitigation.md。
2. 搜寻 使用 YARA 规则和 IOCs — detection/。
3. 检测 利用行为（设备打开、0x222040 IOCTL、内核来源的进程终止）— docs/03-detection.md。

免责声明

仅用于防御安全、检测工程、教育和研究。仅在您拥有或经授权测试的系统上使用概念验证。见 SECURITY.md。故意不包含易受攻击的驱动程序二进制文件。

参考资料

• NVD — https://nvd.nist.gov/vuln/detail/CVE-2025-61155
• MITRE / CVE.org — https://www.cve.org/CVERecord?id=CVE-2025-61155
• GitHub安全公告 — https://github.com/advisories/GHSA-9qfv-m6w2-fhch
• 规范安全公告（合著） — https://github.com/pollotherunner/CVE-2025-61155
• FortiGuard Labs — https://www.fortinet.com/blog/threat-research/interlock-ransomware-new-techniques-same-old-tricks
• Securonix — https://connect.securonix.com/threat-research-intelligence-62/cve-2025-61155-and-interlock-ransomware-a-converging-threat-198
• Vespalec, "Tower of Flaws" — https://vespalec.com/blog/tower-of-flaws/