2022-利用Intel的驱动绕过Windows内核安全措施

ANY.LNK

00006666 发表于 2022-7-3 00:09
WHQL签名的泛滥其实也是个漏洞……，现在有这个的驱动木马越来越多……

但这个漏洞是管理和审核人员（团队）上的漏洞，软件系统上的漏洞容易修，但最大最严重最难修的，还是人心。

对于微软这么大的公司，就连安全团队和审核人员都不是一波的，被安全团队认为是恶意的驱动到了驱动审核那边的人就审核通过了（微软安全团队对于WHQL Rootkit的人工鉴定是很精准的）

也怀疑可能就是驱动审核团队那边的摆烂，驱动加载不蓝屏就算过

a27573

ANY.LNK 发表于 2022-7-3 00:16
但这个漏洞是管理和审核人员（团队）上的漏洞，软件系统上的漏洞容易修，但最大最严重最难修的，还是人心 ...

@神龟Turmi  之前说审核是要提交源码的。。。这都能查不出来，简直了。。。

ANY.LNK

00006666 发表于 2022-7-3 00:13
内核隔离好像是能挡住带VMP的驱动，等于说有很多厉害的木马驱动都运不起来

VMP这个我倒是没有测试过，不少VMP驱动带的签名都是无效的，所以并不能判断内核隔离是以什么为标准阻止的驱动加载。目前已知那些带VMP壳的WHQL签名驱动已经被微软拉黑处理一条龙了

ANY.LNK

a27573 发表于 2022-7-3 00:19
@神龟Turmi  之前说审核是要提交源码的。。。这都能查不出来，简直了。。。

而且还有一点就是微软的安全团队应该是找得到这些源码的，在这方面的检测鉴定精准度比其他样本要高很多

值得注意的是某些WHQL Rootkit是带VMP壳的，这种明显的加强壳混淆也能过……也是服了

ANY.LNK

a27573 发表于 2022-7-3 00:15
刚才试了一下，其实即使到了到今天，利用假的时间戳服务器仍然可以搞出能在开了 DG 的 win11 上加载的驱 ...

不幸的是，我也测不了这个驱动了，上次拷贝虚拟机磁盘文件时出了错虚拟机启动不起来了，连同里面的样本一起丢失了

↓★x

开启Win10/11的核心隔离功能可以阻止这种正规驱动被恶意利用的情况发生吗

wwwab

ANY.LNK 发表于 2022-7-3 00:23
而且还有一点就是微软的安全团队应该是找得到这些源码的，在这方面的检测鉴定精准度比其他样本要高很多
...

之前遇到那个爱玩宝的WHQL RootKit，我后来跟他们官方沟通了下，他们说是把加速器驱动源码给了一个个人外包让他来做驱动，结果那个个人外包往里面加了料

拿到驱动之后WHQL认证应该是他们过去做的

照这么个样子看，微软貌似是把源码和驱动不一致加了料的给过了

wwwab

之前给WHQL部门发过邮件但是没理我

Jirehlov1234

wwwab 发表于 2022-7-3 01:12
之前给WHQL部门发过邮件但是没理我

你这么问谁理你，直接把问题怼上去。上来先试探，却不说具体内容，直接丢垃圾桶（x）
不过邮箱好像是winqual@microsoft.com？https://docs.microsoft.com/en-us ... t-signature-program

wwwab

Jirehlov1234 发表于 2022-7-3 09:27
你这么问谁理你，直接把问题怼上去。上来先试探，却不说具体内容，直接丢垃圾桶（x）
不过邮箱好像是？h ...

我再去问问：