Um pesquisador de segurança cibernética descobriu um novo ataque Bring Your Own Vulnerable Driver (BYOVD) que pode desligar soluções de segurança de endpoint de ponta, incluindo o CrowdStrike Falcon. Ao reengenharia reversa de um driver de kernel zero-day anteriormente desconhecido, o pesquisador revelou como os atores de ameaça usam drivers legitimamente assinados para contornar completamente os sistemas de detecção e resposta de endpoint (EDR).
Descoberta e escopo da vulnerabilidade
No ataque BYOVD, os hackers implantam um driver confiável, mas com falhas, em uma máquina comprometida para explorar seus privilégios elevados de kernel. A investigação identificou mais de 15 variantes distintas desse driver malicioso. Apesar de suas capacidades destrutivas, todas as variantes carregam assinaturas digitais válidas da Microsoft e não foram bloqueadas ou revogadas pelo fornecedor.
Alarmantemente, varreduras em plataformas como VirusTotal mostram zero detecções de motores antivírus modernos. Como o driver é assinado e altamente confiável, o Windows permite que ele seja carregado no modo de kernel sem disparar nenhum alerta de segurança, dando aos atacantes um ponto de apoio furtivo.
Análise técnica detalhada
Durante a análise técnica usando IDA Pro, o pesquisador contornou um ponto de entrada ofuscado para examinar o manipulador de controle de dispositivo principal do driver. Após limpar o código descompilado pesadamente embaralhado, eles descobriram uma interface de controle de entrada/saída (IOCTL) perigosa. Especificamente, o código IOCTL 0x22E010 dispara uma rotina dedicada de encerramento de processo.
O driver aceita um ID de processo como uma string, converte-o em um inteiro usando funções C padrão e executa o comando de terminação. O verdadeiro perigo reside em como o driver termina os processos de segurança do nível de kernel. Ele usa as funções de kernel ZwOpenProcess e ZwTerminateProcess para terminar aplicativos ativos forçadamente.
No modo de usuário padrão, tentar fechar um serviço Protected Process Light (PPL), como o CrowdStrike, resulta em uma negação de acesso imediata. No entanto, comandos de nível de kernel contornam essas proteções de modo de usuário inteiramente, permitindo que o driver mate silenciosamente agentes de segurança críticos antes que os atacantes implantem ransomware ou outras cargas secundárias.
Impacto e alcance
Para validar a vulnerabilidade, o pesquisador core-jmp rastreou dinamicamente o driver em um ambiente de teste para localizar seu link simbólico, identificado como \\\.\{F8284233–48F4–4680-ADDD-F8284233}. Usando esse link junto com o código IOCTL descoberto, eles desenvolveram um exploit de prova de conceito personalizado chamado PoisonKiller.
Quando carregado por meio de ferramentas de serviço de linha de comando padrão, o exploit com sucesso visou e terminou o processo ativo do EDR CrowdStrike. A análise técnica completa e o código do exploit foram publicados no GitHub, destacando uma lacuna crítica em como os sistemas operacionais modernos lidam com drivers de terceiros assinados.
Medidas de mitigação recomendadas
As organizações devem monitorar rigorosamente a carga de drivers de kernel e implementar políticas de restrição de assinatura de drivers. A implementação de controles de acesso baseados em função (RBAC) para operações de kernel é essencial. Além disso, a monitoração de atividades de processo de nível de kernel deve ser intensificada para detectar tentativas de terminação de processos de segurança.
Perguntas frequentes
- Qual é o principal vetor de ataque? O uso de drivers vulneráveis assinados (BYOVD).
- Os atacantes usam malware? Não necessariamente. A exploração é baseada em drivers legítimos.
- Como proteger o EDR? Implemente controles de assinatura de drivers e monitoração de kernel.
O que os CISOs devem fazer imediatamente
Os CISOs devem revisar imediatamente os processos de carga de drivers e garantir que existam verificações de segurança robustas. A implementação de controles de assinatura de drivers é crítica. Além disso, a monitoração de logs de kernel deve ser intensificada para detectar atividades anômalas.
Conclusão
A descoberta de um 0-day usado para desativar o EDR CrowdStrike representa uma evolução significativa na tática de ataque. As organizações devem adaptar suas defesas para incluir monitoração de kernel e controles de assinatura de drivers para mitigar esse risco emergente.