Oltre a file e applicazioni, anche i driver possono diventare dei potenziali leak per la sicurezza del tuo Windows 11. E questo diventa un problema se sono più di una trentina.
Secondo quanto riportato da alcuni ricercatori, sono questi i driver che rischiano di rendere il tuo computer una tana per gli hacker.
Quali sono i driver Windows 11 vulnerabili agli attacchi hacker
Ben 34 driver unici e vulnerabili di Windows Driver Model e Windows Driver Frameworks potrebbero essere sfruttati da autori di minacce non privilegiati per ottenere il pieno controllo dei dispositivi ed eseguire codice arbitrario sui sistemi sottostanti.
Questo emerge da una recente ricerca di VMWare. Estesa su studi precedenti, come ScrewedDrivers e POPKORN che utilizzavano l’esecuzione simbolica per automatizzare la scoperta di driver vulnerabili, si concentra in particolare sui driver che contengono l’accesso al firmware tramite porta I/O e I/O mappato in memoria.
I nomi di alcuni dei driver vulnerabili includono:
- AODDriver.sys,
- ComputerZ.sys,
- dellbios.sys,
- GEDevDrv.sys,
- GtcKmdfBs.sys,
- IoAccess.sys,
- kerneld.amd64,
- ngiodriver.sys,
- nvoclock.sys,
- PDFWKRNL.sys,
- RadHwMgr.sys,
- rtif.sys,
- rtport.sys,
- stdcdrv64.sys,
- TdkLib64.sys.
Quali sono le loro vulnerabilità
Dei 34 driver, sei consentono l’accesso alla memoria del kernel di cui è possibile abusare per elevare i privilegi e vanificare le soluzioni di sicurezza. Dodici driver potrebbero essere sfruttati per sovvertire i meccanismi di sicurezza come la randomizzazione del layout dello spazio degli indirizzi del kernel.
Sette driver, incluso stdcdrv64.sys di Intel, possono essere utilizzati per cancellare il firmware nella memoria flash SPI, rendendo il sistema non avviabile. Da allora Intel ha rilasciato una soluzione al problema.
VMware ha affermato di aver identificato anche driver WDF come WDTKernel.sys e H2OFFT64.sys che non sono vulnerabili in termini di controllo degli accessi, ma possono essere banalmente utilizzati come armi da autori di minacce privilegiati per portare a termine quello che viene chiamato il BSOD dei driver, il Bring Your Own Vulnerable Driver (BYOVD). .
La tecnica è stata utilizzata da vari avversari, tra cui il gruppo Lazarus collegato alla Corea del Nord, come un modo per ottenere privilegi elevati e disabilitare il software di sicurezza in esecuzione su endpoint compromessi in modo da eludere il rilevamento.
