Cảnh báo An ninh hệ thống

Tấn công BYOVD: Khai thác Driver lỗ hổng mà không cần phần cứng vật lý

Trong thế giới an ninh mạng, kỹ thuật BYOVD (Bring Your Own Vulnerable Driver) là một vũ khí nguy hiểm giúp kẻ tấn công leo thang đặc quyền (LPE) và vô hiệu hóa EDR. Tuy nhiên, nhiều driver chỉ hoạt động khi có phần cứng đi kèm. Bài viết này sẽ phân tích cách các chuyên gia nghiên cứu vượt qua rào cản này bằng cách giả lập thiết bị thông qua phần mềm.

1. Giá trị tấn công của Driver Kernel Mode

Driver chạy ở chế độ nhân (Kernel Mode) có toàn quyền truy cập vào bộ nhớ hệ thống. Các lỗ hổng trong driver cho phép kẻ tấn công thực hiện:

Leo thang đặc quyền: Chuyển từ người dùng thông thường lên quyền SYSTEM.

Vô hiệu hóa EDR: Đóng các tiến trình bảo mật hoặc ghi đè cấu hình bảo vệ của phần mềm diệt virus.

2. Rào cản từ cơ chế Plug and Play (PnP)

Đa số các driver hiện đại không tạo Device Object ngay khi tải lên. Thay vào đó, chúng đợi PnP Manager phát hiện phần cứng tương ứng. Hai hàm quan trọng nhất trong quá trình này là:

AddDevice: Được gọi khi PnP phát hiện một thiết bị mới (nút thiết bị).
IRP_MJ_PNP: Xử lý các yêu cầu bắt đầu, dừng hoặc gỡ bỏ thiết bị.

Nếu không có phần cứng, hàm AddDevice sẽ không bao giờ được thực thi, dẫn đến việc các đoạn mã chứa lỗi (vulnerable code paths) không thể truy cập được từ User Mode.

3. Giả lập thiết bị bằng SoftwareDevice API

Để vượt qua rào cản này, kẻ tấn công có thể tạo các thiết bị giả lập thông qua phần mềm với Hardware ID (HWID) bị làm giả (spoofed). Các bước thực hiện bao gồm:

Bước 1: Trích xuất HWID
Tìm HWID phù hợp từ tệp INF đi kèm với driver lỗ hổng.

Bước 2: Tạo thiết bị ảo
Sử dụng công cụ như devcon.exe hoặc hàm API SwDeviceCreate để tạo node thiết bị.

Bước 3: Gắn kết Driver
Buộc Windows sử dụng driver lỗi để điều khiển thiết bị ảo vừa tạo.

Bước 4: Kích hoạt lỗi
Hàm AddDevice được gọi, tạo ra Device Object cho phép gửi IOCTL để khai thác.

4. Thao túng Device Stack và Registry

Ngoài giả lập thiết bị, kẻ tấn công có thể chèn driver lỗ hổng vào các stack thiết bị đang hoạt động bằng cách sửa đổi registry (UpperFilters/LowerFilters). Ví dụ, một driver điều khiển chuột có lỗi có thể được chèn lên trên stack của ổ đĩa (Disk Stack) để kẻ tấn công có thể mở handle thông qua \\.\PhysicalDrive0.

Khuyến nghị Hành động Khẩn cấp

Sử dụng Microsoft Driver Blocklist: Luôn cập nhật danh sách các driver bị cấm để ngăn chặn việc tải driver lỗ hổng lên hệ thống.
Bật Memory Integrity (HVCI): Ngăn chặn việc thực thi mã không hợp lệ trong Kernel Mode.
Giám sát Event Logs: Theo dõi việc tạo dịch vụ driver mới (Event ID 7045) và sự thay đổi trong các khóa Registry liên quan đến Class Filters.
Kiểm soát đặc quyền Administrator: Kỹ thuật này yêu cầu quyền quản trị, do đó kiểm soát chặt chẽ tài khoản admin là lớp phòng thủ tiên quyết.

Nguồn tham khảo: The Hacker News & Atos Threat Research Center

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Khai thác lỗ hổng Driver không cần phần cứng: Góc nhìn mới về tấn công BYOVD