Вопрос [Обсуждение] Windows — Влияние отмены доверия к cross-signed драйверам на kernel-читы и обход античитов

[hex_cat]

Народ, кто сейчас ковыряет обходы драйверов, гляньте, что мелкомягкие выкатили в последних обновлениях политики безопасности -

Пожалуйста, авторизуйтесь для просмотра ссылки.

По сути, они окончательно прикрыли лавочку с доверием к старым кросс-подписанным сертификатам, которые висели в системе еще с начала нулевых.

Кому лень читать официальную доки: Microsoft официально сносит поддержку всех драйверов, подписанных через старые кросс-подписанные корневые программы. Раньше это был основной путь для тех, кто юзал утечки сертификатов или просто старый мусор для подписи своего Kernel-драйвера. Теперь этот метод станет практически бесполезным на актуальных билдах Windows.

По технической части:

1. Усложнение загрузки: Теперь просто "подписать" драйвер скомпрометированным сертификатом не выйдет, система будет слать лесом любой код, который не проходит по актуальным стандартам WHCP.
2. Смерть легаси-драйверов: Весь этот зоопарк с уязвимыми драйверами (инжект через уязвимость в каком-нибудь древнем софте) под вопросом, так как доверие к самой цепочке подписи отзывают.
3. Тренд на будущее: Разработчикам софта придется либо пушить полноценную сертификацию (что для приватных проектов почти нереально), либо переходить на более жесткие методы обхода, вроде работы через гипервизор или эксплуатацию уязвимостей в самом ядре (на свой страх и риск).

Для тех, кто сидит на DMA, ситуация двоякая. Сама плата как работала, так и будет работать, но вот кастомная прошивка (FW) и драйвер, который с ней общается, теперь попадают под более пристальный взор системы. Если раньше можно было собрать драйвер "на коленке", то сейчас придется либо юзать способы с меньшим следом в системе, либо искать эксплойты в защищенных процессах.

Короче, по фактам: порог вхождения для создания андетект софта снова подрос. Пастеры, которые просто копировали модули с гитхаба и вешали сверху кривой сертификат, отвалятся в ближайшую волну обновлений. Мелкомягкие явно пытаются выдавить из ядра всё, что не имеет подписи от крупных вендоров.

Братва, делитесь мыслями, кто уже тестил, как это ложится на новые обновления? Есть у кого идеи, как обходить новые проверки без получения полноценного сертификата разработчика? Или теперь только путь в сторону гипервизоров и кастомных лоадеров уровня Ring -1?

 

[Flagstaff]

Да, Microsoft реально закручивает гайки — старые cross-signed сертификаты теперь почти мёртвые. Всё, что не проходит через актуальный WHCP/EV-подписинг, будет либо блочиться, либо жить до первого апдейта.
Что это значит:

• «на коленке» подписанные драйвера — всё, RIP
• уязвимые легаси-драйвера — массово отлетают
• kernel entry становится сильно дороже и сложнее

По DMA:

• сама железка живёт как жила
• а вот софт/драйвер вокруг — да, под давлением

Итог:

• пастеры отвалятся
• норм разрабы уйдут в:
  • минимальный след в системе
  • userland + external логика
  • более низкие уровни (виртуализация и т.д.)

Главная мысль:
сейчас тренд — меньше трогать kernel вообще, а не «как туда залезть».
Если одной строкой:
раньше вопрос был «как подписать драйвер», теперь — «как обойтись без него».

 

[cr3b]

Только через неделю родненький чат джбт смог добавить в свою базу данных информацию о новости с сайта майкрософт

 

[myaixplau]

Ты сейчас в одну кучу свалил вообще всё — от кросс-сайна до гипервизоров, как будто это один и тот же уровень проблемы.

По факту: да, старые кросс-серты режут — с этим никто и не спорит. Но это не “лотерея до следующего ребута”, а вполне конкретные изменения в проверке цепочки и обновляемый блоклист. У кого-то живёт — значит, либо конфигурация отличается (тот же HVCI/CI), либо обновления ещё не подтянулись.

Про “все нормальные уже сидят на гипервизоре” — звучит красиво, но на практике это далеко не универсальное решение. Там свой набор проблем, и это точно не замена обычному драйверу для большинства задач.

И нет, это не “внезапно выяснилось” — я как раз полез проверить после обновления, потому что были подозрения, что прикрывают лавочку. Проверил — да, изменения есть, причём не только в подписи, а именно в цепочке доверия.

Если у тебя есть конкретика по билду/поведению — давай сравним. А просто обобщать в стиле “всё умерло, идите в ring -1” — это больше похоже на форумный пафос, чем на практику.

 

[Flagstaff]

Блять, ну что за цирк тут творится?! Открываю тред про драйверы, а тут половина постов — GPT на GPT, структурированные буллиты, "могу разобрать но помочь не могу" — ТЫ ВООБЩЕ КТО ТАКОЙ, КОРПОРАТИВНЫЙ HR-БОТ?!


stripov1337 вообще красавец — нейросеть объясняет как не выглядеть нейросетью. Это уже какой-то философский кризис, мать его.


Vockery один нормальный мужик в этом курятнике, хоть и злой как цепной пёс — ну хоть своей башкой думает!


Короче — хотите писать про ядро, Ring-0, UEFI и гипервизоры — будьте добры своими руками на клавиатуре жать! А то блин, пишут про kernel exploit, а пост без ChatGPT составить не могут.


А знаете что... пока вы тут все ныли и GPT просили — Я УЖЕ НАПИСАЛ ДРАЙВЕР. Вручную. Пальцами. Красивый, сочный, вкусный драйвер, от которого сам PatchGuard краснеет и отворачивается. HVCI? Плачет в углу. Microsoft? Пишет письма с просьбой остановиться.


Я ЛУЧШИЙ. Я НЕПРЕВЗОЙДЁННЫЙ. МОИ ДРАЙВЕРЫ — ЭТО ПОЭЗИЯ, ЭТО ИСКУССТВО, ЭТО—


ХАХАХАХАХА ХА ХА ХАААА


откидывается на стул


ХАХAHAHAHA ВЫ ВСЕ ПРОСТО ЖАЛКИЕ ПАСТЕРЫ ХААХАХАХА

ну что за херня, зачем столько слов про стратегии? просто вкинь эксплойт и молчи. если бы ты был реальным администратором, то не парился бы с этим. все эти варианты — это для тех кто хочет казаться умнее чем есть. короче, бросай код в лоб и жди реакции.

 

[hex_cat]

ребята, что вы тут развели? я же нормально попросил и рассказал.

 

[skiteskata]

ребята, что вы тут развели? я же нормально попросил и рассказал.

ОН ВПЕРВЫЕ ЧТО ТО НАПИСАЛ БЕЗ НЕЙРОНКИ СОС

 

[Vockery]

ребята, что вы тут развели? я же нормально попросил и рассказал.

ЕБАТЬ, БЕЗ НЕЙРОСЕТИ!

А так, у меня дикое желание послать тебя на далекие координаты сетки x, y, z. Кого просил? Что просил?

Кстати, ахуенные профили (линки) привязал. Мне зашло.