MurderNova
Ontem 21:44

Boa noite gostaria que essas informações que estou enviando, tome destino ao setor do Anti Cheats pois vocês estão com uma grau altíssimo de hacks nessa plataforma ! Eu não sou programado e também não fiz nenhum tipo de teste nessa plataforma porem 90% dos hacks estão sendo escritos em cima de driver de entradas como driver de mouses usb entre outros gostaria de alertar os programadores para o modo Kernel onde está 100% veraneável

Coleção de drivers de sistema assinados que permitem ler / gravar memória privilegiada ou expor alguma outra vulnerabilidade séria. Se o driver tiver validação de buffer de entrada para códigos IOCTL, informe-o antes de enviar para a lista.

ASUS
EIO64.sys MmMapIoSpace / MmUnmapIoSpace
IOMap64.sys MmMapIoSpace / MmUnmapIoSpace

ATSZIO64.sys ZwMapViewOfSection / ZwUnmapViewOfSection / MmGetPhysicalAddress

Nome do dispositivo: "" \\ \ ATSZIO."
Mapa físico IOCTL: 0x8807200C
Unmap IOCTL física: 0x88072010

Exemplo: https://github.com /LimiQS/AsusDriver...r/PoC-fixed.cs
ATI
atillk64.sys MmMapIoSpace / MmUnmapIoSpace / MmBuildMdlForNonPagedPool / MmMapLockedPages

Nome do dispositivo: "\\. \ atillk64"
Mapear / desmapear
IOCTLs: 0x9C402534, 0x9C402538, 0x9C402544, 0x9C402544, 0x9C402544, 0x9C402544
Avast

Nome do dispositivo de conexão SSDT aswVmm.sys : "\\. \ aswVmm"
Hook IOCTL: 0xA000E804
Exemplo: https://github.com/tanduRE/AvastHV/

Biostar
BS_Flash64.sys MmMapIoSpace / MmUnmapIoSpace / MmMapLockedPages / ExAllocatePoolWithTag / ExFreePoolWithTag

Nome do dispositivo: "\\ \ BS_Flash64."
Mapa / Unmap IOCTL: 0x222000
Alocar IOCTL: 0x22203C

BS_I2c64.sys MmMapIoSpace / MmUnmapIoSpace
BSMEMx64.sys MmMapIoSpace / MmUnmapIoSpace / MmGetPhysicalAddress
BSMIXP64.sys MmMapIoSpace / MmUnmapIoSpace / MmGetPhysicalAddress

Capcom
Capcom.sys MmGetSystemRoutineAddress

Nome do dispositivo: "\\. \ Htsysm72FB"
Execute IOCTL: 0xAA013044

CPUID

cpuz141.sys MmMapIoSpace / MmUnmapIoSpace

Nome do dispositivo: "\\. \ cpuz141"
Registro de leitura IOCTL: 0x9C402428
Leitura física: 0x9C402420
Gravação física: 0x9C402430

Observações: CVE-2017-15303
CrystalMark

WinRing0x64.sys MmMapIoSpace / MmUnmapIoSpace

Nome do dispositivo: "\\. \ WinRing0_1_0_1"
Mapear / Desmapear IOCTL: 0x9C406104

Jogo Justo
FairplayKD.sys MmProbeAndLockPages / KeStackAttachProcess / RtlCompareMemory

Nome do dispositivo: "\\. \ FairplayKD0"
Código de controle principal: 22E008
Exemplo: https://www.unknowncheats.me/forum/d...=file&id=21780

GMEREK
pgldqpoc.sys IoAllocateMdl / MmProbeAndLockPages / MmMapLockedPagesSpecifyCache
Map / Unmap IOCTL: 0x7201C028

Huawei

HwOs2Ec10x64.sys MmMapIoSpaceEx / KeInitializeApc / KeInsertQueueApc

Nome do dispositivo: "\\. \ HwOs2EcDevX64"
Observações: CVE-2019-5241

sub_140009160
- aloca a página RWX em algum processo de destino;
- resolve os indicadores da função CreateProcessW e CloseHandle no espaço de endereço do processo de destino;
- copia uma área de código do driver, bem como o que parecia ser um bloco de parâmetros para a página alocada; e
- executa a injeção de APC do usuário direcionada para essa página
Mais informações: https://www.microsoft.com/security/b...calation-flaw/
Phymemx64.sys

Mapa ZwMapViewOfSection IOCTL: 0x80102040 Unmap
UICTL: 0x80102044
Nome do dispositivo: "\\. \ PhyMem"

Observações: Use Phymemx64.dll para referência
Intel
iqvw64e.sys MmMapIoSpace / MmUnmapIoSpace / MmGetPhysicalAddress

Map / Unmap IOCTL: 0x80862007
Nome do dispositivo: "\\. \ Nal"
Exemplo: kdmapper - mapeie manualmente o driver usando um driver vulnerável da Intel
IOBIT
Monitor_win10_x64.sys MmMapIoSpace / MmUnmapIoSpace

Map / Unmap IOCTL: 0x9C406104
Nome do dispositivo: "\\. \ IOBIT_WinRing0_1_3_0"
Observações: CVE-2018-16712
JCOS Media

Mapa físico do driver.sys ZwMapViewOfSection IOCTL: 0x4F3EE000
Nome do dispositivo: "\\. \\ gejoriejo"
Download: https://www.unknowncheats.me/forum/d...=file&id=26891
Discussão: driver de cheat p2c assinado
Driver LG

Mapa lha.sys IOCTL: 0x9C402FD8 Desmapear
IOCTL: 0x9C402FDC

Nome do dispositivo: "\\. \ {E8F2FF20-6AF7-4914-9398-CE2132FE170F}"
Notas: CVE-2019-8372
Exemplo: http://jackson-t.ca/ lg-driver-lpe.html
MICSYS

Mapa físico Mslo64.sys IOCTL: 0x80102040 Desmapeamento
físico IOCTL 0x0x80102044

Observações: Empacotado em utilitários ASRock (RGB policromado)
MSI / Microstar
NTIOLib_x64.sys MmMapIoSpace / MmUnmapIoSpace

Nome do dispositivo: "\\. \ NTIOLib_LiveUpdate"
Ler IOCTL: 0xC3506104
Gravar IOCTL: 0xC350A108

Observações: Empacotado com MSI
Pode ler / gravar MSR
Exemplo: https://github.com/rw explorar
PC-Doctor
pcdsrvc_x64.pkms MmMapIoSpace / MmProbeAndLockPages /

Nome do dispositivo: "\\. \ PCDSRVC {3B54B31B-D06B6431-06020200} _0"
GetPhysicalAddress IOCTL: 0x222080
Leitura / Gravação IOCTL física: 0x222084, 0x222088
Leitura / Gravação MSR IOCTL: 0x222180 / 0x222184

Notas: Embalado com o Dell SupportAssist
Exemplo: https://github.com/hatRiot/bugs/blob...ell-sa-lpe.cpp

ProcessHacker
krpocesshacker.sys MmProbeAndLockPages / MmMapLockedPagesSpecifyCache / KeStackAttachProcess

Nome do dispositivo: "\\ \ KProcessHacker2."
Read / Write IOCTL: 0x999920EB / 0x999920E3 / 0x999920E7
Exemplo: https://www.unknowncheats.me/forum/d...=file&id=25444
REALiX

HWiNFO64A.SYS MmapIoSpace / MmUnmapIoSpace

Nome do dispositivo: "\\. \ HWiNFO"
Mapa físico IOCTL: 0x85FE2D18
Observações: versão <= 8.98, CVE-2018-8061
Razer
rzpnk.sys ZwOpenSection / ZwMapViewOfSection

Nome do dispositivo: "\\. \ 47CD78C9-64C3-47C2-B80F-677B887CF095"
Mapa / Unmap IOCTL: 0x22a050

Notas: CVE-2017-9769
Embalado com Razer Synapse (v2.20.15.1104)
Exemplo: https://www.rapid7.com/db/modules/ex..._zwopenprocess
Samsung
magdrvamd64.sys

Nome do dispositivo MmMapIoSpace / MmUnmapIoSpace : "\\. \ MagicianSataModeReader"
Mapear / Unamp IOCTL: 0x80002000, 0x80002004
SOKNO SRL

speedfan.sys MmMapIoSpace / MmMapIoSpace / MmUnmapIoSpace

Nome do dispositivo: "\\. \ SpeedFan"
Ler IOCTL físico: 0x9C402428
Gravar IOCTL físico: 0x9C40242C
Ler MSR: 0x9C402438

Exemplo: https ://github/SamLarenN.t Speedfan.cpp
Zemana
zam64.sys ZwOpenProcess

Nome do dispositivo: "\\. \ ZemanaAntiMalware"
Abrir identificador de acesso completo IOCTL: 0x80002010 / 0x8000204C
Observações: CVE-2018-6606
Exemplo: https://github.com/SouhailHammou/Exp...x_privescl_1.c

------------------
Enviado de: https://gamersclub.com.br/lobby



Knowledge Capture


Ticket Analytics


Ticket Metrics