⚔️ BYOVD | Подписанный драйвер как ключ к ядру | Как Lazarus глушил EDR из Ring 0

BYOVD – техника, при которой атакующий загружает на машину жертвы легитимный подписанный, но уязвимый драйвер и через него выполняет произвольный код в Ring 0, убивая EDR до того, как тот успевает что-либо сделать.

Capcom.sys от японской игровой компании: by-design содержит механизм выполнения шеллкода в kernel context, временно отключая SMEP. Lazarus применял аналогичный подход с FudModule-рутктом, а когда блоклист прижал BYOVD – перешёл на zero-day CVE-2024-21338 в appid.sys.

— В данной статье разберем как BYOVD-драйвер нокаутирует kernel callbacks EDR, kill chain от admin-прав до полного контроля ядра, актуальная база LOLDrivers и детектирование по Sysmon Event ID 6.

🎤 Чтиво

#BYOVD #EDRevasion #KernelExploit / White Hat / max.ru/kind_hack