Bring Your Own Vulnerable Driver (BYOVD) to typ ataku, w którym malware nie wykorzystuje luki w obecnych sterownikach systemu, lecz instaluje świadomie podatny, ale wciąż prawomocnie podpisany sterownik. Atakujący korzystają z faktu, że Windows uznaje podpis Microsoftu lub WHQL bez sprawdzania, czy podpisany sterownik został później zidentyfikowany jako niebezpieczny.
Najsłynniejsze przypadki CVE
CVE-2021-21551 — Dell DBUtil
Sterownik Dell DBUtil_2_3.sys miał lukę pozwalającą każdemu procesowi na uzyskanie pełnych uprawnień jądra. Wykorzystywane przez ransomware. NIST NVD
CVE-2019-16098 — MSI Afterburner / RTCore64
Sterownik MSI Afterburner RTCore64.sys umożliwiał odczyt/zapis dowolnej pamięci jądra. Wciąż używany w atakach (legalnie podpisany!). NIST NVD
CVE-2024-0090 — Nvidia GPU Driver
Lokalna eskalacja uprawnień przez sterownik graficzny Nvidia. Naprawione w aktualnych wersjach. NIST NVD
CVE-2020-15368 — ASRock Polychrome RGB
Sterownik AsrDrv101.sys dla podświetlenia RGB miał lukę pozwalającą na zapis pamięci jądra. Niewinne RGB → narzędzie ataku. NIST NVD
AVG Driver Updater porównuje zainstalowane sterowniki z bazą CVE i ostrzega o znanych podatnościach.
Jak się chronić przed BYOVD
Microsoft Vulnerable Driver Blocklist
Microsoft prowadzi listę znanych podatnych sterowników. Włączona domyślnie w Windows 11. Dla Windows 10:
- Zabezpieczenia Windows → Zabezpieczenia urządzenia → Izolacja rdzenia → Szczegóły
- Włącz "Microsoft Vulnerable Driver Blocklist"
- Restart
HVCI (Hypervisor-protected Code Integrity)
Wymusza, że tylko podpisany kod jądra może działać. Kombinacja z VBS (Virtualization-based Security). Włącz przez:
Zabezpieczenia Windows → Zabezpieczenia urządzenia → Izolacja rdzenia → Integralność pamięci → Włącz
LOLDrivers Project
Społeczność prowadzi LOLDrivers (Living Off The Land) — bazę znanych podatnych sterowników z hashami i wskaźnikami detekcji. Pomocna dla SOC, antywirusów, OS hardening.
Praktyczne zalecenia
- Aktualizuj sterowniki — większość CVE ma poprawkę. Tylko stare, niekonserwowane mają lukę.
- Odinstaluj nieużywane — narzędzia RGB, oprogramowanie monitorujące, które nie są w użyciu
- Włącz Microsoft Vulnerable Driver Blocklist — bezpłatna ochrona
- Włącz HVCI — szczególnie ważne dla maszyn wrażliwych (server, workstation)
- Sprawdzaj nieoczekiwane sterowniki — Menedżer urządzeń → Widok → Pokaż ukryte urządzenia. Cokolwiek nieznanego: zbadać
Często zadawane pytania
Nie. WHQL potwierdza tylko, że sterownik jest stabilny i kompatybilny — nie że nie ma luk bezpieczeństwa. Wiele podatnych sterowników jest WHQL.
Częściowo. Nowoczesne EDR/AV (Defender, ESET, Kaspersky) wykrywają podatne sterowniki. Ale lista nie jest pełna — Microsoft Blocklist + HVCI to dodatkowa warstwa.
Tak, ~5-10% w niektórych zadaniach (głównie GPU virtualization, gry). Decyzja: bezpieczeństwo vs wydajność.
Najpierw aktualizuj producenta. Jeśli brak nowszej wersji: odinstaluj sterownik (jeśli to możliwe), zainstaluj alternatywę (np. zamiast MSI Afterburner użyj HWiNFO64).