हाल ही में एक सिक्योरिटी रिसर्चर ने इस पर एक ट्वीट पोस्ट किया
रिपोर्टों के अनुसार, हमलावर इन कमजोरियों का उपयोग सामान्य उपयोगकर्ता अधिकारों से उच्चतम सिस्टम विशेषाधिकारों तक विशेषाधिकारों को बढ़ाने, केएएसएलआर (कर्नेल एड्रेस स्पेस लेआउट रैंडमाइजेशन) सुरक्षा को बायपास करने, कर्नेल क्रेडेंशियल चुराने और यहां तक कि दुर्भावनापूर्ण व्यवहार को छिपाने के लिए कर्नेल कॉलबैक तालिका को संशोधित करने के लिए कर सकते हैं।
चूँकि इसमें शामिल सभी ड्राइवरों के पास आधिकारिक EV या WHQL हस्ताक्षर हैं, हमलावर लक्ष्य डिवाइस पर अतिरिक्त सॉफ़्टवेयर स्थापित किए बिना सीधे दुर्भावनापूर्ण पेलोड लोड कर सकते हैं, और हमले की सीमा बेहद कम है।
उनमें से, किंग्सॉफ्ट एंटीवायरस के kdhacker64_ev.sys ड्राइवर में स्पष्ट बफर आवंटन दोष हैं।
जब ड्राइवर उपयोगकर्ता इनपुट को संसाधित करता है, तो आवंटित बफर आकार वास्तविक आवश्यक आकार का केवल आधा होता है, जिससे 1160 बाइट्स डेटा केवल 584 बाइट्स स्थान में लिखा जाता है, जिससे सीधे 512-बाइट कर्नेल पूल ओवरफ़्लो होता है।
यह ध्यान देने योग्य है कि ड्राइवर के पास एक वैध ईवी हस्ताक्षर है, जिसका अर्थ है कि एक हमलावर इस भेद्यता का उपयोग सिस्टम सुरक्षा जांच को आसानी से बायपास करने और डिवाइस पर पूर्ण नियंत्रण प्राप्त करने के लिए कर सकता है।
360 सुरक्षा गार्ड की भेद्यता DsArk64.sys ड्राइवर में परिलक्षित होती है।
यह ड्राइवर 4-बाइट प्रक्रिया आईडी को IOCTL इंटरफ़ेस के माध्यम से पारित करने की अनुमति देता है, और सीधे रिंग 0 स्तर पर ZwTerminateProcess फ़ंक्शन को कॉल करता है, जो किसी भी प्रक्रिया को जबरदस्ती समाप्त कर सकता है और यहां तक कि PPL (संरक्षित प्रक्रिया) तंत्र को बायपास कर सकता है, जिससे सिस्टम की मुख्य प्रक्रिया के लिए खतरा पैदा हो सकता है।
इतना ही नहीं, ड्राइवर का कर्नेल पढ़ने और लिखने का फ़ंक्शन AES-128-CBC एन्क्रिप्शन एल्गोरिदम का उपयोग करता है, लेकिन इसकी डिक्रिप्शन कुंजी बाइनरी फ़ाइल के .data अनुभाग में हार्ड-कोडित है, और सभी संस्करण एक ही कुंजी का उपयोग करते हैं, जो हमलावरों के लिए क्रैक करने की कठिनाई को बहुत कम कर देता है।
वर्तमान में, इन दो उच्च जोखिम वाली कमजोरियों को LOLDrivers डेटाबेस में प्रस्तुत किया गया है।
