IT之家 4 月 14 日消息,安全研究人员 Patrick Saif(@weezerOSINT)昨日(4 月 13 日)在 X 平台发布推文,披露金山毒霸与 360 安全卫士两款主流杀毒软件的内核驱动存在高危漏洞。
![]()
金山毒霸的 kdhacker64_ev.sys 驱动在处理用户输入后,分配的缓冲区大小仅为所需的一半,导致 1160 字节数据写入 584 字节空间,直接引发 512 字节的内核池溢出。该驱动拥有有效的 EV 签名,攻击者可利用此漏洞完全控制系统。
![]()
360 安全卫士的 DsArk64.sys 驱动允许通过 IOCTL 接口传入 4 字节进程 ID,并在 Ring 0 层级调用 ZwTerminateProcess 强制终止任意进程,甚至能绕过 PPL(受保护进程)机制。
![]()
更严重的是,其内核读写功能使用 AES-128-CBC 算法,让解密密钥硬编码在二进制文件的.data 段中,且所有版本使用同一密钥,且该驱动通过了 WHQL 签名认证。
目前两个漏洞已提交至 LOLDrivers 数据库,均未获 CVE 编号且不在 HVCI 屏蔽名单中。攻击者利用这些漏洞可从普通用户提权至 SYSTEM,绕过 KASLR 并窃取内核凭据,甚至修改内核回调表隐藏恶意行为。鉴于涉事驱动具备 EV 或 WHQL 签名,攻击者无需在目标机器安装软件即可加载恶意载荷。
![]()
IT之家附上参考地址
特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.