הבעיה בדרייבר הזה אינה שמישהו פרץ אותו. הבעיה היא שהוא עושה בדיוק את מה שנועד לעשות, ובלי לשאול מי ביקש. RTCore64.sys, הדרייבר שמגיע עם MSI Afterburner, מאפשר לפי הרשומה לכל משתמש מחובר לקרוא ולכתוב בזיכרון באופן חופשי. הוא חתום חתימה תקפה, והציון שלו 7.8 מתוך 10.

מה החולשה?

MSI Afterburner היא תוכנה להתאמת ביצועים של כרטיס מסך, מהסוג שמשמש לניטור טמפרטורות ולהעלאת תדרים. כדי לעשות את זה היא צריכה לדבר עם החומרה ישירות, וזה דבר שתוכנה רגילה אינה יכולה לעשות. לכן היא מגיעה עם דרייבר, רכיב שרץ בליבת המערכת ויש לו גישה כמעט לכל דבר.

הכשל הוא שהדרייבר מציע את היכולות האלה לכל מי שמבקש. לפי הרשומה, כל משתמש מחובר יכול דרכו לקרוא ולכתוב בזיכרון שרירותי, בפורטי הקלט והפלט ובאוגרי הבקרה של המעבד. אין שם בדיקה שמבררת אם הפונה הוא באמת התוכנה שהדרייבר הגיע איתה.

מי ששולט בכתיבה לזיכרון הליבה שולט במערכת. הרשומה מונה שלוש תוצאות: הסלמת הרשאות, הרצת קוד בהרשאות גבוהות, ודליפת מידע.

והסעיף האחרון שהרשומה מוסיפה הוא זה שהופך את הדרייבר הזה למפורסם. הוא חתום, ולכן ווינדוס טוענת אותו ברצון. תוקף שרוצה להריץ קוד בליבה אינו צריך לחתום על דרייבר משלו, מה שהוא בדרך כלל אינו מסוגל לעשות. הוא יכול להביא איתו את הקובץ החתום והפגיע הזה ולהשתמש בו כמנוף. הרשומה אומרת את זה במפורש: אפשר לעקוף דרכו את מדיניות חתימת הדרייברים של מיקרוסופט.

מי מושפע?

הרשומה נוקבת בגרסה אחת, MSI Afterburner 4.6.2.15658, ובתוכה בשני הדרייברים RTCore64.sys ו-RTCore32.sys.

ומכאן מתפצלות שתי קבוצות שונות מאוד זו מזו. הראשונה היא מי שהתוכנה מותקנת אצלו, בדרך כלל מחשב גיימינג ביתי או תחנה עם כרטיס מסך חזק. השנייה, והיא רחבה בהרבה, היא כל מחשב ווינדוס באשר הוא.

ההסבר לקבוצה השנייה נמצא בשורה האחרונה של התיאור. כדי להשתמש בקובץ הזה ככלי אין צורך שהתוכנה תהיה מותקנת מראש, כי מה שנדרש הוא הקובץ החתום עצמו. כלומר גם ארגון שאין בו מחשב אחד עם Afterburner עשוי לפגוש את הדרייבר הזה, ולא בתור תוכנה שמישהו בחר להתקין.

האם מנוצלת בפועל?

החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע כי תוקפים משתמשים בהן בפועל.

כאן כדאי לדייק מה הסטטוס הזה מודד. הרשימה עוקבת אחרי חולשות שתוקפים מנצלים כדי להיכנס למערכות. דרייבר פגיע וחתום משמש אחרת: לא כדי להיכנס, אלא ככלי שמביאים פנימה אחרי שכבר נכנסו. הרשומה עצמה מציינת את השימוש הזה בפירוש.

ובין המקורות שלה מופיע מאגר קוד פומבי שעוסק בחולשה. זה אומר שמי שרוצה להשתמש בה אינו מתחיל ממחקר מאפס.

מה עושים?

אם MSI Afterburner מותקנת אצלכם, בדקו איזו גרסה. הרשומה מצביעה על 4.6.2.15658, ומספר הגרסה מופיע בתוך התוכנה עצמה. אם זאת הגרסה שרצה אצלכם, עדכנו אותה או הסירו אותה, ואחרי ההסרה ודאו שהקבצים RTCore64.sys ו-RTCore32.sys באמת ירדו מהמערכת ולא נשארו מאחור.

ואם אין לכם שום קשר לתוכנה הזאת, עדיין יש לכם מה לעשות, וזה החלק שנוגע לארגונים. ווינדוס יודעת לחסום טעינה של דרייברים שידועים כפגיעים דרך רשימת חסימה ייעודית, וקבצים מהסוג הזה הם בדיוק מה שהמנגנון הזה קיים בשבילו. ודאו שהוא פעיל על התחנות שלכם.

ולניטור: הופעה של RTCore64.sys על מחשב שאין בו סיבה להחזיק תוכנת כוונון כרטיס מסך, או טעינה של דרייבר חדש בשעה שאיש לא עבד, היא אירוע ששווה לפתוח. הרשומה אומרת שהקובץ הזה משמש לעקיפת מדיניות החתימה, ולכן נוכחות שלו במקום לא צפוי אינה פרט טכני שולי.