Исходник [Сурс] AMD SSG — Обход античита через Ring 0 File R/W (Драйвер amdssg64.sys)

[hex_cat]

Братва, откопал на гитхабе интересную тему по поводу уязвимости в драйвере AMD SSG (amdssg64.sys). Если кто сейчас ковыряет Kernel-драйверы или ищет способы обхода через Ring 0, это будет полезно для изучения.

Суть в том, что драйвер экспозит небезопасные IOCTL, которые позволяют юзермодным программам беспалевно дергать файлы через ядро. По факту — это прямой доступ к файловой системе на уровне Ring 0.

Технические нюансы:

1. Ограничения: Драйвер не заведется без корректного device-нода. В репозитории лежат инструкции, как патчить сам драйвер и подменять устройство, чтобы прокинуть эксплойт.
2. Архитектура: Работа идет через манипуляцию с IOCTL-запросами, что дает возможность обходить стандартные блокировки Windows при обращении к защищенным файлам.
3. Вектор использования: Подойдет тем, кто пишет свой лоадер или пытается скрытно взаимодействовать с файловой системой в обход античит-мониторинга.

Для тех, кто хочет потестить в лабе:

Пожалуйста, авторизуйтесь для просмотра ссылки.

Спойлер: Осторожно, хардкор

Юзайте с головой и только на виртуалках или подопытных системах. Ошибка в IOCTL-запросе в Ring 0 — это моментальный BSOD и, если драйвер криво привязан, возможные проблемы с целостностью системы.

Кто-то уже успел прогнать это через дебаггер? Интересно, как быстро прилетает триггер на такую модификацию девайс-нода со стороны современных АЧ, если использовать это для подгрузки маппинга. Делитесь своими наработками, кто уже допиливал — кидайте правки по оффсетам драйвера.