¿Qué es BYOVD (Bring-Your-Own-Vulnerable-Driver)? (glosario)

BYOVD es la jugada en la que un atacante deja caer un driver de kernel legítimamente firmado que tiene un bug explotable conocido, lo carga y usa el bug para obtener ring 0. Driver Signature Enforcement asiente educadamente porque el driver está genuinamente firmado por un fabricante real. La vulnerabilidad vive dentro del propio driver, normalmente un handler IOCTL que reparte lectura/escritura arbitraria de memoria a quien abra el dispositivo.

Ejemplos famosos: el antiguo mhyprot2.sys (anticheat de Genshin Impact), gdrv.sys (Gigabyte), RTCore64.sys (MSI Afterburner), procexp152.sys (el driver de Process Explorer). La lista en loldrivers.io no para de crecer.

Por qué DSE no ayuda#

DSE comprueba la cadena de firma. No mira dentro del driver ni razona sobre su superficie IOCTL. Una vez cargado un driver firmado vulnerable, el atacante obtiene:

• Desactivar el EDR parcheando sus callbacks de kernel.
• Leer LSASS sin disparar detecciones tipo MiniDumpWriteDump.
• Modificar bits PPL para permitir que las herramientas de modo usuario toquen procesos protegidos.
• Cargar un driver de atacante completamente sin firmar escribiendo en memoria de kernel.

La blocklist de drivers recomendada por Microsoft existe para esto y, en la mayoría de SKUs, es opcional o solo parcialmente activa por defecto.

Cómo Amcache caza BYOVD#

Root\InventoryDriverBinary contiene un registro por driver que el sistema ha cargado. Los campos que importan:

• DriverTimeStamp: la fecha de enlace PE del driver.
• DriverSigned: el flag de firma.
• Hash: SHA-1 del binario del driver.
• KeyLastWriteTimestamp: cuándo escribió el appraiser el registro.

El patrón es sencillo: firmado + DriverTimeStamp antiguo + KeyLastWriteTimestamp reciente. Un driver compilado en 2014 que apareció por primera vez en tu hive el martes pasado tiene forma de BYOVD por construcción.

Import-Csv .\HOST_amcache_DriverBinaries.csv |
  Where-Object {
    $_.DriverSigned -eq 'True' -and
    [DateTime]$_.DriverTimeStamp -lt (Get-Date).AddYears(-2) -and
    [DateTime]$_.KeyLastWriteTimestamp -gt (Get-Date).AddDays(-30)
  } |
  Select DriverName, DriverTimeStamp, KeyLastWriteTimestamp, Hash, Service |
  Sort-Object KeyLastWriteTimestamp

Cruza los hashes restantes con loldrivers.io. Una coincidencia es casi diagnóstica.

Para el flujo completo, ver Cazando malware común con Amcache.

Términos relacionados#

• Amcache.hve
• Triaje DFIR
• InventoryApplicationFile