Redazione RHC : 2 Novembre 2023 18:05
34 driver vulnerabili di Windows Driver Model (WDM) e Windows Driver Frameworks (WDF) potrebbero essere stati sfruttati da autori di minacce. Tali driver permettono di ottenere il pieno controllo dei dispositivi ed eseguire codice arbitrario sui sistemi sottostanti.
“Sfruttando i driver, un utente malintenzionato senza privilegi può cancellare/alterare il firmware e/o elevare i privilegi del sistema operativo”, ha affermato Takahiro Haruyama, ricercatore senior sulle minacce presso VMware Carbon Black.
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
La ricerca si espande su studi precedenti, come ScrewedDrivers e POPKORN che utilizzavano l’esecuzione simbolica per automatizzare la scoperta di driver vulnerabili.
Inoltre si concentra in particolare sui driver che contengono l’accesso al firmware tramite porta I/O e I/O mappato in memoria. I driver rilevati vulnerabili sono:
| Driver Name | Number of Hashes | Type | Signature Status (when discovered) | Other R/W Vulnerabilities | PoC | Note |
| stdcdrv64.sys | 1 | WDF | Valid | MSR/CR | Firmware erase | – |
| IoAccess.sys | 2 | WDF | Expired | – | Firmware erase | – |
| GEDevDrv.SYS | 4 | WDF | Expired | – | – | – |
| GtcKmdfBs.sys | 5 | WDF | Expired | MSR | – | – |
| PDFWKRNL.sys | 3 | WDM | Valid | Virtual memory | Firmware erase, EoP | CVE-2023-20598 |
| TdkLib64.sys | 18 | WDM | Valid | MSR | Firmware erase | CVE-2023-35841,unique buffer encoding |
| phymem_ext64.sys | 4 | WDM | Valid | Registry | Firmware erase | Loading failure on HVCI-enabled Win11 |
| rtif.sys | 7 | WDM | Expired | – | – | KeBugCheckEx |
| cg6kwin2k.sys | 1 | WDM | Valid | – | Firmware erase | – |
| RadHwMgr.sys | 6 | WDM | Valid | Virtual memory, registry | – | Error in device creation |
| FPCIE2COM.sys | 5 | WDM | Valid | – | – | – |
| ecsiodriverx64.sys | 2 | WDM | Expired | MSR | – | – |
| sysconp.sys | 2 | WDM | Expired | MSR | – | – |
| ngiodriver.sys | 12 | WDM | Expired | MSR (read-only) | – | – |
| avalueio.sys | 2 | WDM | Expired | – | – | – |
| tdeio64.sys | 2 | WDM | Expired | – | – | – |
| WiRwaDrv.sys | 1 | WDM | Expired | – | – | Loading failure on HVCI-enabled Win11 |
| CP2X72C.SYS | 5 | WDM | Expired | – | – | Loading failure on HVCI-enabled Win11 |
| SMARTEIO64.SYS | 1 | WDM | Expired | – | – | – |
| AODDriver.sys | 9 | WDM | Certificate revoked | MSR | – | – |
| dellbios.sys | 11 | WDM | Certificate revoked | – | – | – |
| stdcdrvws64.sys | 1 | WDM | Certificate revoked | Virtual memory, MSR/CR | EoP | Old WDM version of stdcdrv64.sys |
| sepdrv3_1.sys | 1 | WDM | Certificate revoked | – | – | – |
| kerneld.amd64 | 36 | WDM | Certificate revoked | – | – | – |
| hwdetectng.sys | 3 | WDM | Certificate revoked | MSR | – | – |
| VdBSv64.sys | 1 | WDM | Certificate revoked | MSR | – | – |
| nvoclock.sys | 25 | WDM | Certificate revoked | Virtual memory | – | – |
| rtport.sys | 8 | WDM | Certificate revoked | Virtual memory | EoP | – |
| ComputerZ.Sys | 50 | WDM | Certificate revoked | MSR | – | – |
| SBIOSIO64.sys | 4 | WDM | Certificate revoked | – | – | – |
| SysInfoDetectorX64.sys | 1 | WDM | Expired | MSR (read-only) | – | – |
| nvaudio.sys | 1 | WDM | Certificate revoked | Virtual memory, MSR/CR | – | Buffer encryption, 72% code similarity with nvoclock.sys |
| FH-EtherCAT_DIO.sys | 2 | WDM | Expired | MSR | – | Loading failure on HVCI-enabled Win11 |
| atlAccess.sys | 1 | WDM | Expired | – | – | Loading failure on HVCI-enabled Win11 |
Table 2: Research result
Dei 34 driver, sei consentono l’accesso alla memoria del kernel di cui è possibile effettuare privilege escalation e vanificare le soluzioni di sicurezza. Dodici driver potrebbero essere sfruttati per sovvertire i meccanismi di sicurezza come la randomizzazione del layout dello spazio degli indirizzi del kernel (KASLR).
Sette driver, incluso stdcdrv64.sys di Intel, possono essere utilizzati per cancellare il firmware nella memoria flash SPI, rendendo il sistema non avviabile. Da allora Intel ha rilasciato una soluzione al problema.
VMware ha affermato di aver identificato anche driver WDF come WDTKernel.sys e H2OFFT64.sys che non sono vulnerabili in termini di controllo degli accessi, ma possono essere banalmente utilizzati come armi da autori di minacce privilegiati per portare a termine quello che viene chiamato attacco Bring Your Own Vulnerable Driver (BYOVD).
RedazioneHackerHood, il team di hacker etici di Red Hot Cyber, ha realizzato qualcosa che raramente si vede fuori dalle conferenze più esclusive: un workshop live in cui viene mostrato, passo dopo passo, ...
Google ha rilasciato un aggiornamento di emergenza per il browser Chrome, eliminando sei vulnerabilità contemporaneamente, una delle quali è già attivamente sfruttata in attacchi reali....
L’operazione internazionale “Eastwood” rappresenta uno spartiacque nella lotta contro il cyberterrorismo. Per la prima volta, un’azione coordinata su scala mondiale ha infe...
Nell’ambito delle indagini condotte dalla Procura della Repubblica di Roma e con il coordinamento della Direzione Nazionale Antimafia e Antiterrorismo, la Polizia Postale ha portato a termine i...
L’11 luglio, ora locale, è stato rivelato che Google DeepMind aveva “reclutato” con successo il team principale della startup di intelligenza artificiale Windsurf. Non molto ...
Iscriviti alla newsletter settimanale di Red Hot Cyber per restare sempre aggiornato sulle ultime novità in cybersecurity e tecnologia digitale.
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
