تحوّل لمكان كله قصص فارغة مليئه بالخيال وواضح هدفها جذب التفاعل أو استعطاف الناس.

I appreciate it!

Not really about the game starting. A regular user shouldn’t be able to control which kernel driver the anti-cheat service loads. That’s the real problem.

7/7 This finding illustrates the distinction between verifying who signed a driver and verifying which driver a privileged service should load. I’m sharing the implementation and reproduction details for other researchers to examine. PoC: github.com/oh-az/EAC_rollbac…

6/7 Where this leads next is still an open research question. Exploring further impact requires a deeper understanding of how the older drivers initialize, interact with the current service, and which functionality remains accessible after loading.

5/7 The result is signed-driver rollback without administrator privileges, using EAC’s own trusted service as the loader. This can reintroduce older kernel attack surface. Further privilege escalation would depend on an exploitable vulnerability in an accepted driver.

4/7 The service validates the signature and publisher but does not enforce an expected or minimum version. Together, these weaknesses allow substituted older drivers to be accepted, written to the protected driver path in Program Files, and loaded into the kernel.

3/7 The driver data is encoded using a custom reversible byte transformation. I reconstructed this transformation to supply older, legitimately signed EAC binaries in the expected format. The encoding does not authenticate the binary or the process supplying it.

2/7 While reversing EAC’s initialization protocol, I found that the shared-memory channel carrying driver data was writable by a standard user. The SYSTEM service consumes this data without authenticating its source, allowing an unprivileged process to substitute the binary.

1/7 After months of research, I found a logic flaw in EasyAntiCheat: a standard user can control which older signed EAC driver its SYSTEM service loads into the kernel. Reported almost a year ago, rejected, and still reproducible. Demo: 2022 and legacy 2017 drivers loaded and running.

Cool to know the password goes through CredProvDataModel's WinRT layer now. unsigned DLLs still load into logonui by design, windows being windows..

الحمدلله أنجزت شهادة OSCE³ من @offsectraining من أعلى وأصعب الشهادات في مجال الأمن الهجومي، تشمل: OSWE – OSED – OSEP رحلة طويلة مليئة بالتحديات التقنية والتفاصيل العميقة فخور جدًا بهذا الإنجاز #osce3

هنا سويت طريقة حلوه بأن الملف خليته في فلاش وخليت الايقونه الخاصه فيه هي صورة pdf كذبيه ، وسميت الملف test.pdf.library-ms ولكن مثل ماذكرت سابقاً ان explorer.exe راح يخفي الامتداد حتى لو كنا مفعلين اظهار جميع الامتدادات .. ف بكذا اول ما نفتح الفلاش راح تتم عملية المصادقه من explorer نفسه عشان يسحب الايقونه بدون اي عملية من المستخدم:

ف بكذا اول ما المجلد يتم فتحه اللي موجود فيه الملف ، explorer.exe بنفسه بيروح يدور ملف الايقونه وراح يسوي مصادقه مع الخادم الخاص فينا (يرسل الهاش) وياخذ الصوره المطلوبه عشان يخليها ايقونة الملف.

وفي الملف الضار المستخدم في المثال هو ملف من نوع library وامتداده: .library-ms المميز في نوع الملف هذا ان Explorer.exe بنفسه راح يخفي الامتداد هذا حتى لو فعّلت خاصية عرض جميع الامتدادات ، ف هذي راح تفيدنا جداً بأن نخفي الملف ونخلي شكله طبيعي.

التكنيك هذا يسمى ب Authentication Coercion وهو إجبار المستخدم على إجراء عملية مصادقه مع الخادم دون علمه أو دون الحاجة إلى تنشيط أي شيء بنفسه.

واذا اخذنا الهاش ، في عدة طرق نقدر نستفيد منه سواء عن طريق استغلاله في هجمة NTLM-Relay او محاولة فكّه مباشره واخذ الباسورد الخاصه باليوزر ب استخدام john او hashcat مثل ماهو موضح بالصوره:

الكثير من الناس عنده مفهوم ان الملف الضار لازم يتم تشغيله (Executed) عشان يسبب الضرر الخاص فيه , اليوم بوريكم وبشرح كيف نقدر نستغل طريقة عمل الWindows وكيف نقدر نسرق الهاش (NTLMv2) الخاص باليوزر فقط عن طريق فتحه للمجلد او تحميل الملف بدون تشغيل اي برنامج خارجي .. مثل ماهو موضح في المقطع:

Option 1: Compile the dll and inject it to a live cmd instance, cmd has to be running prior to injecting .. (You can either create an injector to do this part or you can do it manually in ProcessHacker) Option 2: Just download the exe that will launch cmd and inject NoArgs for you (ready-to-go) from here: github.com/oh-az/NoArgs/rele…

0x1F0