🔥 Trường Tiểu học Vinh Quang đã đăng ký tín nhiệm. 🔥                    🔥 Trường THCS Phan Chu Trinh đã đăng ký tín nhiệm. 🔥                    🔥 UBND phường Quang Trung đã đăng ký tín nhiệm. 🔥                    🔥 UBND phường Duy Tân đã đăng ký tín nhiệm. 🔥                    🔥 Trường Tiểu học Dư Hàng đã đăng ký tín nhiệm. 🔥                   

Hàng chục Windows Drivers dễ bị tấn công và có thể dẫn đến chiếm quyền điều khiển thiết bị

03/11/2023

Có tới 34 Windows Driver Model (WDM) và Windows Driver Frameworks (WDF) dễ bị tấn công, có thể bị các tác nhân đe dọa [không có đặc quyền] khai thác để giành toàn quyền kiểm soát thiết bị và thực thi mã tùy ý trên các hệ thống bị ảnh hưởng.

Takahiro Haruyama, chuyên gia nghiên cứu mối đe dọa tại VMware Carbon Black, cho biết: “Bằng cách khai thác các trình điều khiển (driver), kẻ tấn công không có đặc quyền có thể xóa/thay đổi firmware và/hoặc nâng cao đặc quyền [hệ điều hành]”.

Nghiên cứu này mở rộng dựa trên các nghiên cứu trước đây, bao gồm ScrewedDrivers và POPKORN – trong đó các nhà nghiên cứu đã sử dụng thực thi biểu tượng (symbolic execution) để tự động phát hiện các trình điều khiển dễ bị tấn công. Nó đặc biệt tập trung vào các trình điều khiển có chứa quyền truy cập firmware thông qua cổng I/O và I/O được ánh xạ bộ nhớ.

Tên của một số trình điều khiển dễ bị tấn công bao gồm AODDriver.sys, ComputerZ.sys, dellbios.sys, GEDevDrv.sys, GtcKmdfBs.sys, IoAccess.sys, kerneld.amd64, ngiodriver.sys, nvoclock.sys, PDFWKRNL.sys (CVE-2023-20598), RadHwMgr.sys, rtif.sys, rtport.sys, stdcdrv64.sys và TdkLib64.sys (CVE-2023-35841).

Trong số 34 trình điều khiển, sáu trình điều khiển cho phép truy cập bộ nhớ kernel có thể bị lạm dụng để nâng cao đặc quyền và vượt qua các giải pháp bảo mật. Mười hai trình điều khiển có thể bị khai thác để phá vỡ các cơ chế bảo mật như ngẫu nhiên hóa bố cục không gian địa chỉ kernel (KASLR).

Bảy trong số các trình điều khiển, bao gồm stdcdrv64.sys của Intel, có thể bị lạm dụng để xóa firmware trong bộ nhớ flash SPI, khiến hệ thống không thể khởi động được. Intel đã đưa ra bản vá lỗi cho vấn đề này.

VMware cho biết họ cũng xác định các trình điều khiển WDF như WDTKernel.sys và H2OFFT64.sys không dễ bị tấn công về mặt kiểm soát truy cập, nhưng có thể bị các tác nhân đe dọa có đặc quyền lợi dụng để thực hiện tấn công Bring Your Own Vulnerable Driver (BYOVD).

Kỹ thuật này đã được nhiều tác nhân đe dọa sử dụng, bao gồm cả nhóm Lazarus có liên kết với Triều Tiên, để giành được các đặc quyền nâng cao và vô hiệu hóa phần mềm bảo mật chạy trên các thiết bị bị xâm nhập để tránh bị phát hiện. 

Nguồn: thehackernews.com.

scrolltop