Исследователь в области кибербезопасности Патрик Сейф (Patrick Safe) выявил серьезные недостатки в защитных механизмах популярных антивирусных решений Kingsoft Antivirus и 360 Security Guard. Обнаруженные уязвимости в драйверах ядра позволяют злоумышленникам обходить стандартные протоколы безопасности операционной системы и получать привилегированный доступ к ресурсам устройства. Проблема усугубляется тем, что скомпрометированные компоненты обладают легитимными цифровыми подписями, что затрудняет их обнаружение штатными средствами защиты.
Переполнение пула в драйвере Kingsoft Antivirus
Основная угроза в продукте Kingsoft связана с компонентом kdhacker64_ev.sys. В ходе анализа было установлено, что некорректная обработка данных, поступающих от пользователя, приводит к переполнению пула ядра на 512 байт. Поскольку данный драйвер имеет действующую подпись (EV-подпись — Extended Validation), операционная система доверяет его инструкциям.
Эксплуатация этой бреши предоставляет атакующим следующие возможности:
- Выполнение произвольного кода с правами ядра (Ring 0).
- Полный захват контроля над целевой системой.
- Скрытие вредоносной активности от других инструментов мониторинга.
Уязвимость в 360 Security Guard и обход защиты PPL
Не менее опасная ошибка была зафиксирована в драйвере DsArk64.sys, который является частью антивирусного комплекса 360 Security Guard. Исследование показало, что интерфейс управления вводом-выводом (IOCTL) позволяет сторонним приложениям взаимодействовать с ядром системы напрямую.
Механизм PPL (Protected Process Light) в Windows предназначен для защиты критически важных процессов от завершения или изменения даже со стороны администратора. Однако выявленная уязвимость позволяет злоумышленникам обходить эту защиту и принудительно завершать любые процессы в системе. Это может быть использовано для деактивации защитного ПО или системных служб перед проведением основной фазы атаки.
Выявленные недостатки подчеркивают сохраняющиеся риски использования защитного программного обеспечения, работающего на уровне ядра. Специалистам по информационной безопасности рекомендуется ограничить использование уязвимых версий данных программ до выпуска официальных патчей от разработчиков. Дальнейшее изучение подобных инцидентов необходимо для совершенствования механизмов проверки драйверов с EV-подписями, которые все чаще становятся вектором для целевых атак.