Investigadores de seguridad han publicado un análisis detallado de la CVE-2025-8061, una vulnerabilidad crítica hallada en un controlador firmado de Lenovo, LnvMSRIO.sys. La divulgación describe cómo los atacantes pueden aprovechar este fallo para escalar desde un acceso en modo usuario hasta un control total del núcleo (Ring 0).
Los hallazgos fueron publicados por el equipo de sibouzitoun.tech, quienes describen la vulnerabilidad como un ejemplo perfecto de la superficie de ataque 'Bring Your Own Vulnerable Driver' (BYOVD). Al utilizar un controlador legítimo y firmado como arma, los atacantes pueden saltarse los controles de seguridad estándar de Windows que normalmente impiden la carga de código malicioso sin firma.
De la prueba de concepto al implante en el núcleo
Los investigadores documentaron la evolución del exploit a lo largo de una serie de cuatro partes. El proceso comienza con la ingeniería inversa del controlador para extraer primitivas de lectura y escritura arbitrarias. Estas herramientas permiten al atacante vencer la aleatorización del diseño del espacio de direcciones del núcleo (kASLR) y robar el token SYSTEM, otorgándoles efectivamente control administrativo sobre la máquina.
En la segunda fase de la investigación, el equipo se centró en hacer que el exploit fuera viable para escenarios del mundo real. Eliminaron los offsets codificados y los reemplazaron por un escaneo dinámico de gadgets ROP. También desarrollaron métodos para evadir la Prevención de Acceso en Modo Supervisor (SMAP) mediante código ensamblador personalizado.
Las etapas finales de la investigación demuestran cómo mantener la persistencia y evadir la detección. Mediante la Manipulación Directa de Objetos del Núcleo (DKOM), un atacante puede ocultar su proceso por completo al sistema operativo. Los investigadores también detallan cómo cegar la Integridad de Código (DSE) y superar a PatchGuard, una función de seguridad de Windows diseñada para evitar la manipulación a nivel de núcleo.
Los investigadores sostienen que documentar estas técnicas es esencial para la ingeniería defensiva. 'Comprender cómo los atacantes encadenan estas primitivas es el primer paso para construir defensas resilientes', señaló el equipo en su informe.
El repositorio del proyecto, que incluye el código fuente completo en C++ y el controlador vulnerable, está destinado a que los profesionales de la seguridad estudien la mecánica del exploit. Los autores señalaron que su trabajo se inspiró en investigaciones previas de Quarkslab sobre el vector de ataque BYOVD.
Al alejarse de los procesos tradicionales de carga de controladores y al interceptar llamadas al sistema, los investigadores demostraron que las defensas estándar del núcleo pueden ser superadas. El código proporcionado permite a los equipos de seguridad probar sus propios sistemas frente a estas técnicas avanzadas de escalada de privilegios.
