BYOVD, açılımıyla “Bring Your Own Vulnerable Driver”, saldırganın hedef sisteme kendi getirdiği meşru imzalı fakat içinde zafiyet barındıran bir çekirdek sürücüsünü yükleyip bu zafiyeti kötüye kullanmasıdır. Windows’ta çekirdek modunda kod çalıştırmak için sürücünün geçerli bir sayısal imzaya sahip olması gerekir; saldırgan sıfırdan imzalı bir sürücü üretmek yerine, geçmişte üretici tarafından imzalanmış ve hâlâ yüklenebilen kusurlu bir sürücüyü kullanır.

BYOVD, çekirdeğe açılan kapıyı zorlamak yerine, üreticinin çoktan imzaladığı arızalı bir anahtarı bulup kullanmaktır.

Nasıl Çalışır?

Saldırının çıkış noktası, işletim sisteminin çekirdek modu (ring 0) ile kullanıcı modu (ring 3) arasındaki güven sınırıdır. Yönetici hakları elde etmiş bir saldırgan bile normalde çekirdeğe doğrudan müdahale edemez. Zafiyetli sürücü bu sınırı aşan bir köprü sağlar: çoğunlukla keyfi bellek okuma/yazma (arbitrary read/write) yeteneği veren, IOCTL çağrılarını yeterince doğrulamayan bir sürücü, kullanıcı modundaki bir süreçten gelen komutları çekirdek belleğinde işleme sokar.

Saldırgan bu ilkel yetenekleri kullanarak çekirdek yapılarını doğrudan değiştirir. Tipik hedefler arasında süreç tokenlarının SID ve ayrıcalık alanlarını SYSTEM seviyesine yükseltmek, EPROCESS listesinden bir süreci gizlemek ya da güvenlik ürünlerinin çekirdekte tuttuğu geri çağırma (callback) kayıtlarını sıfırlamak yer alır. Böylece kullanıcı modunda çalışan bir istismar, çekirdek belleğini yeniden yazarak sistemin en ayrıcalıklı katmanına ulaşır.

Neden Bu Kadar Etkili?

BYOVD’nin gücü, meşru bir bileşenin arkasına saklanmasından gelir. Sürücü geçerli bir imza taşıdığı için uygulama beyaz listeleri ve imza denetimleri onu engellemez; kötücül olan sürücünün kendisi değil, ona gönderilen komutlardır. Bu yönüyle teknik, bir Savunmadan kaçınma yöntemidir ve aynı zamanda Yetki yükseltme amacına hizmet eder. Kaspersky, Cisco ve çeşitli oyun karşıtı hile araçlarına ait sürücüler geçmişte bu amaçla kötüye kullanılmıştır.

Çekirdek seviyesine ulaşan saldırgan, sistemin görünürlüğünü tamamen kontrol edebildiği için bu teknik sıklıkla Çekirdek rootkit teknikleri ile birlikte kullanılır. Ransomware grupları ve devlet destekli aktörler, uç nokta koruma ajanlarını çalışırken sonlandırmak için BYOVD’yi tercih eder; çünkü çekirdekten müdahale edildiğinde güvenlik ürününün kendini savunma mekanizmaları da devre dışı kalır.

Tespit ve Önleme

Savunmanın temeli, bilinen zafiyetli sürücülerin sisteme yüklenmesini en baştan engellemektir. Microsoft’un yayımladığı savunmasız sürücü engelleme listesi (Vulnerable Driver Blocklist) ve Hypervisor korumalı kod bütünlüğü (HVCI) bu sürücülerin belleğe alınmasını kısıtlar. Uç nokta tarafında ise anormal sürücü yükleme olaylarının, özellikle bilinen kötücül karma değerlerine sahip dosyaların izlenmesi kritiktir.

• Microsoft’un savunmasız sürücü engelleme listesini ve HVCI’yi etkinleştirin.
• Yeni sürücü yükleme olaylarını (Sysmon Event ID 6 ve benzeri) sürekli izleyin.
• Bilinen kötüye kullanılan sürücü karma değerlerini engelleme kurallarına ekleyin.
• Yönetici haklarını kısıtlayarak sürücü kurma yetkisini asgariye indirin.

Bir kurumun bu tür bir zincire karşı gerçekten dayanıklı olup olmadığını anlamanın en sağlam yolu, saldırıyı kontrollü biçimde canlandırmaktır. Uç nokta güvenliği kontrollerinin çekirdek seviyesindeki bir müdahaleye nasıl tepki verdiğini görmek için Privia Security’nin red team hizmeti kapsamında BYOVD senaryoları gerçekçi biçimde simüle edilerek savunma katmanlarının direnci ölçülür.