Принеси свой уязвимый драйвер! Разбираем BYOVD — одну из опаснейших атак на Windows за последние годы

На самом деле в узких кру­гах дав­но было извес­тно о воз­можнос­ти исполь­зовать чужой драй­вер в сво­их целях, но до какого‑то момен­та она не была столь важ­ной. Мож­но было открыть любой хакер­ский форум и най­ти пучок дру­гих спо­собов обой­ти про­вер­ку целос­тнос­ти ядра Windows и надурить механизм KPP (Kernel Patch Protection).

Но в Microsoft тоже об этом догады­вались и в ито­ге довели кон­троль целос­тнос­ти ядра до дос­таточ­но высоко­го уров­ня, обло­мав всю малину любите­лям нес­тандар­тно­го прог­рамми­рова­ния. Вот тог­да все вспом­нили про BYOVD, потому что реали­зовать эту ата­ку зна­читель­но про­ще, чем искать зиродеи в механиз­ме кон­тро­ля целос­тнос­ти ядра.

BYOVD дает хорошие воз­можнос­ти: поз­воля­ет отклю­чать анти­виру­сы, под­нимать при­виле­гии (LPE) и делать дру­гие инте­рес­ные фокусы, в зависи­мос­ти от того, какой драй­вер ата­кован.

В кон­це кон­цов, ядро всег­да было лакомым кусоч­ком для хакеров всех мас­тей. Давай раз­берем­ся, как работа­ет эта ата­ка.

Как устроен драйвер

Для начала нам нуж­но понимать, что такое драй­вер в Windows и как он устро­ен. Оче­вид­но, что, как и у любого дру­гого при­ложе­ния, у драй­вера есть точ­ка вхо­да, которая называ­ется DriverEntry и име­ет сле­дующий про­тотип: