CVE-2015-1701: Elevar privilegios en Windows

Uno de los exploits analizados en la Operación RussianDoll (APT) se aprovechaba de la vulnerabilidad CVE-2015-1701 para escalar privilegios en Windows Vista / 7 y poder ejecutar código en modo kernel.

A grandes rasgos consigue una devolución de llamada (callback) en modo usuario obteniendo las estructuras del EPROCESS del proceso System y del proceso actual, para luego copiar datos desde el token del proceso System al actual.

Al finalizar, el payload continúa la ejecución en modo de usuario con los privilegios del proceso del sistema.

Microsoft ya parcheó esta vulnerabilidad (MS15-0517) aunque el investigador ruso 'hfiref0x' (habitual de No tienes permitido ver los links. Registrarse o Entrar a mi cuenta) publicó en GitHub el código fuente y compilado (créditos a R136a1).


Descargar (Compilado)

Taihou64.exe (6 KB): No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Taihou32.exe (5,5 KB): No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Código Fuente

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta


Fuente: Hackplayers

Ya se había comentado No tienes permitido ver los links. Registrarse o Entrar a mi cuenta, pero éste sí que es un post.
Gracias, ANTRAX.
PD.: La imagen le da un toque dramático de lo más molón.