Descoberta e vetor
O pesquisador Lucas Laise (Quarkslab) identificou abuso de named pipes com ACLs permissivas, incluindo pipes como \\.\\pipe\\K7MailProxyV1 e \\.\\pipe\\K7TSMngrService1, que permitiram a manipulação de chamadas para alterar entradas de registro e executar payloads no contexto SYSTEM.
Detalhes técnicos
Testes em K7 Ultimate Security versão 17.0.2045 mostraram que processos de usuário não‑administrador conseguiam acionar caminhos de comunicação que levaram à execução de código como SYSTEM. Ferramentas como PipeViewer e captura de tráfego (IoNinja) foram usadas para identificar pacotes e replays via PowerShell. Uma modificação de um byte no registro (troca de B9 para B8 em uma rotina) permitiu injetar valores arbitrários, burlando validações.
Para escalada completa, os pesquisadores recorreram a Image File Execution Options (MITRE ATT&CK T1546.012), configurando um debugger em K7TSHlpr.exe para disparar a execução de código arbitrário durante um falso fluxo de atualização.
Patches e mitigação
K7 propôs três correções intermediárias: validação de chamador em K7TSMngrService1; bloqueios no driver K7Sentry.sys (v22.0.0.70) para evitar injeção em processos protegidos; e outras medidas. Os pesquisadores demonstraram bypasses de algumas correções (por exemplo, mapeamento manual de DLL e uso de binários assinados renomeados fora das listas protegidas). A Quarkslab notificou K7 em 25 de agosto e publicou detalhes em 2 de dezembro após confirmar bypasses.
Recomendações e implicações
As recomendações incluem atualização imediata para as versões fornecidas por K7, monitoramento de integridade e revisão das ACLs sobre canais de IPC. A Quarkslab disponibilizou scripts de prova de conceito para análise defensiva. K7 declarou que a aplicação completa de ACLs ficará para uma release maior futura.