DriverJack 다운로드 - DriverJack 소스 코드 다운로드

드라이버잭

기타 소스코드

다운로드

드라이버잭

소개

DriverJack 은 잘 알려지지 않은 NTFS 기술을 남용하여 취약한 드라이버를 로드하도록 설계된 도구입니다. 이러한 방법은 기존 서비스를 하이재킹하여 시스템에서 드라이버 서비스 등록을 우회하고 드라이버 로드 이벤트에 표시된 이미지 경로도 스푸핑합니다. 취약한 드라이버의 존재를 더욱 위장하기 위해 공격은 에뮬레이트 파일 시스템 읽기 전용 우회를 악용하여 드라이버 파일을 로드하기 전에 마운트된 ISO에 있는 드라이버 파일의 내용을 교환합니다.

에뮬레이트된 파일 시스템 읽기 전용 우회

DriverJack은 에뮬레이트된 파일 시스템에 마운트된 파일을 RW 페이지로 다시 매핑하여 해당 내용을 덮어쓸 가능성을 남용합니다. 이 RO 우회는 IoCdfsLib 에서 구현됩니다.

공격 개요

ISO가 탑재되면 시작 또는 중지할 수 있는 서비스 드라이버 또는 트리거할 수 있는 서비스 드라이버를 선택하여 공격이 진행됩니다. 잘못 구성하지 않는 한 관리 권한이 필요합니다.

주요 공격 단계

ISO 장착 및 드라이버 선택
- 공격은 ISO를 파일 시스템으로 마운트하는 것으로 시작됩니다.
- 공격자는 즉각적인 탐지 없이 시작하거나 다시 시작할 수 있는 서비스 드라이버를 중심으로 조작이 가능한 서비스 드라이버를 선택합니다.
드라이버 경로 탈취
- 공격의 핵심은 운전자의 경로를 탈취하는 것이다. 사용되는 방법은 다음과 같습니다.
  - 직접 재분석 지점 남용
  - DosDevice 글로벌 심볼릭 링크 남용
  - 드라이브 마운트 지점 교체

공격 기법

1. 직접 재분석 지점 남용

이 기술은 설치 프로그램이 C:WindowsSystem32drivers 디렉터리에 직접 액세스하는 기능을 활용하여 해당 디렉터리에 악성 기호 링크를 배치할 수 있도록 합니다. 심볼릭 링크는 OS에 의해 우선적으로 처리되므로 서비스가 다시 시작될 때 악성 드라이버가 로드됩니다.

주요 단계:

NtLoadDriver 함수는 심볼릭 링크의 NT 경로를 정규화합니다.
서비스가 다시 시작되면 악성 드라이버가 로드됩니다. 그러나 드라이버 로드 이벤트는 ISO 탑재 지점을 가리키는 로드되는 드라이버 이미지의 실제 경로를 표시합니다.

2. NT Symlink 남용

Secret Club 해커 집단의 jonasLyk와 협력하여 개발된 이 방법에는 드라이버 바이너리가 로드되는 경로의 일부인 DeviceBootDevice NT 기호 링크를 리디렉션하는 작업이 포함됩니다. 이를 통해 시스템 내에서 루트킷을 숨길 수 있습니다.

단계:

SYSTEM 권한을 얻습니다.
BootDevice 심볼릭 링크 대상을 백업합니다.
마운트된 ISO를 가리키도록 BootDevice 심볼릭 링크를 조작합니다.
서비스를 시작/다시 시작합니다.
BootDevice 심볼릭 링크 대상을 복원합니다.

이 방법은 Windows Defender 서비스 및 드라이버를 비활성화하기 위해 unDefender 프로젝트에서 사용된 기술에서 영감을 받았습니다. 드라이버 로드 이벤트는 ISO 탑재 지점을 가리키는 로드되는 드라이버의 실제 경로를 계속 표시합니다.

3. 마운트 포인트 스와핑

이 기술은 널리 알려져 있지만 시스템 불안정 가능성으로 인해 거의 사용되지 않습니다. 여기에는 BootPartition 에 할당된 드라이브 문자를 일시적으로 변경하여 드라이버 로드 프로세스가 다른 드라이브에 액세스하도록 속이는 작업이 포함됩니다. 앞에서 설명한 NT Symlink 남용과 결합하면 이 기술은 SysMon 및 기타 모니터링 도구의 감지를 우회하여 로드되는 드라이버의 경로를 완전히 가장할 수 있습니다.