Security Week 2236: корпоративная атака с помощью кода из игры

[qw1]

Я смотрю, этот драйвер подписан

CN = Microsoft Windows Hardware Compatibility Publisher,
O = Microsoft Corporation
L = Redmond
S = Washington
C = US

То есть, не самими китайцами, а лабораторией проверки качества Microsoft. Интересно, можно ли в этом случае «отозвать сертификат», не причинив проблем другим клиентам?

[maxdm]

По другому Microsoft для Windows 10 драйвера уже довольно давно не подписывает. А для старых ОС больше нет действительных кросс-сертификатов, так что единственная возможность -- подписать в MSFT.

Думаю, механизм "выключения" таких драйверов существует, но вряд ли с помощью отзыва сертификатов.

[qw1]

Недавно была учечка NVidia, в которой были рабочие сертификаты. Люди подтвердили, что им удалось подписать свои драйвера, и их приняла система.
На моей машине драйвер nvhda64v.sys подписан сертификатом с Subject

CN = Nvidia Corporation
OU = IT-MIS
O = Nvidia Corporation
L = Santa Clara
S = California
C = US

[G_Raider]

Все эти античит системы в играх по факту чистой воды бэкдоры и только на совести их производителя зависит, как они будут использоваться. Кто-то память проверяет, кто-то ФС, а кто-то неизвестно что. Добавляем возможность их ломануть — профит).

[qw1]

Ну вообще-то дыры находили и в драйверах материнских плат, и в драйверах сетевых карт. Просто, если для производителя нет никаких последствий и потерь от дыр, будут делать как удобнее, а не как безопаснее. Это даже не бэкдоры, а просто программистам надо было быстрее таски закрыть, а думать лень.

[OptimumOption]

Вы таки будете смеяться, но прямо в настоящее время Genshin Impact раздаётся НАХАЛЯВУ в магазине Epic! :D Ждем всплеска?

[qw1]

Активность хакеров никак не зависит от установок игры у пользователей и её популярности.
Хакеры берут из дистриба игры подписанный драйвер, копируют его на компьютер жертвы, запускают и пользуются дырами в нём для полного доступа к системе. И антивирус не имеет права пикнуть на этот драйвер, иначе толпа геймеров его с говном сожрёт.

Хотя, игра регулярно обновляется. Если антивирус забанит старые уязвимые версии, геймеры не пострадают, потому что у них игра обновлена (без обновления не запустится).