NGHIÊN CỨU AN NINH MẠNG

Tấn công BYOVD: Vô hiệu hóa rào cản phần cứng trong khai thác lỗ hổng Driver

Các cuộc tấn công Bring Your Own Vulnerable Driver (BYOVD) thường bị coi là khó thực hiện nếu thiếu phần cứng tương ứng. Tuy nhiên, nghiên cứu mới cho thấy tin tặc có thể giả lập các thiết bị phần mềm để kích hoạt và khai thác các driver lỗi ngay cả trên các hệ thống không có thiết bị vật lý.

Tầm quan trọng của Driver trong tấn công leo thang đặc quyền

Bên cạnh tiềm năng leo thang đặc quyền cục bộ (LPE), các driver lỗi thường bị lạm dụng trong các cuộc tấn công BYOVD để phá vỡ các cơ chế phòng thủ hệ thống như EDR. Một driver là ứng cử viên sáng giá cho tấn công BYOVD khi nó cho phép ghi/đọc bộ nhớ tùy ý hoặc thực thi mã mà không phụ thuộc vào các điều kiện hệ thống hiếm gặp.

Rào cản thông thường: Hầu hết các driver chỉ tạo Device Object khi phát hiện có phần cứng vật lý tương ứng kết nối với hệ thống.

Giải pháp của hacker: Sử dụng các API của Windows để tạo ra các nút thiết bị (device nodes) giả lập với Hardware ID bị giả mạo nhằm đánh lừa PnP Manager.

Kỹ thuật giả lập thiết bị phần mềm (Software-Emulated Devices)

Nghiên cứu chỉ ra rằng bằng cách sử dụng công cụ như devcon.exe hoặc pnputil.exe, kẻ tấn công có thể tạo ra các Device Node với Hardware ID tùy ý. Quá trình này kích hoạt callback AddDevice của driver, cho phép khởi tạo các cấu trúc nội bộ và tạo ra các điểm truy cập (entry points) để xử lý IRP (I/O Request Packets) từ User-mode.

Quy trình giả mạo Hardware ID qua SetupAPI:

Tạo danh sách thông tin thiết bị trống cho lớp phần cứng.
Tạo nút thiết bị (devnode) mới trong hệ thống.
Thiết lập Hardware ID giả mạo khớp với driver mục tiêu.
Đăng ký thiết bị với Plug and Play (PnP) Manager.
Buộc hệ thống cập nhật driver cho thiết bị giả thông qua tệp INF.

Kỹ thuật Filter Restacking: Tấn công các Driver lọc

Đối với các filter driver (driver lọc), kẻ tấn công có thể sử dụng kỹ thuật 'nhảy stack' (stack jumping). Bằng cách chèn tên dịch vụ của driver lỗi vào khóa registry UpperFilters của một lớp thiết bị phổ biến (như Disk Drive), hacker có thể buộc driver đó tải lên trên một stack thiết bị có sẵn (như ổ đĩa ảo VHD) và tương tác với nó thông qua các tay cầm (handles) tiêu chuẩn.

Hành động khẩn cấp cho doanh nghiệp

Giám sát Registry: Theo dõi các thay đổi bất thường tại các khóa CurrentControlSet\Control\Class và CurrentControlSet\Enum.
Chặn Driver không tin cậy: Sử dụng Windows Defender Application Control (WDAC) để thực thi danh sách chặn driver lỗi (vulnerable driver blocklist).
Phân tích dấu vết: Kiểm tra việc sử dụng các công cụ như devcon.exe hoặc pnputil.exe trong các hoạt động không liên quan đến bảo trì hệ thống.
Cập nhật EDR: Đảm bảo hệ thống phòng thủ có khả năng phát hiện các hành vi tương tác IRP bất thường từ User-mode vào Kernel.

Nguồn tham khảo: The Hacker News & Atos Threat Research Center

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Kỹ thuật BYOVD: Cách khai thác Driver Windows lỗi mà không cần phần cứng vật lý