Windows Kernel Exploitation Framework

Het Kernel Exploitation Framework, of KEF, is een geavanceerde Windows offensive security tool ontwikkeld door WebSec.

Het biedt geautoriseerde operators Windows kernel-mode mogelijkheden voor privilege-escalatie, proces- en tokenmanipulatie, kernel callback-beheer, ETW-testen, WFP-callout-inspectie, credential-beschermingstesten en andere geavanceerde beveiligingsoperaties.

KEF is bedoeld voor geautoriseerde red team-engagementen, overheidsoperaties, wetshandhaving, inlichtingenwerk, beveiligingsonderzoek en defensieve controlevalidatie.

KEF wordt niet openbaar verspreid of aangeboden als onbeperkte algemene software.

Toegang is beperkt tot geverifieerde organisaties met een legitieme operationele behoefte, waaronder:

• Overheidsbeveiligingsdiensten
• Militaire cybereenheden
• Wetshandhavingsorganisaties
• Inlichtingenteams
• Goedgekeurde red team-providers
• Kritieke infrastructuur-beveiligingsteams
• Goedgekeurde cybersecurity-onderzoeksorganisaties

Potentiële klanten zijn onderworpen aan organisatieverificatie, beoordeling van eindgebruik, toepasselijke exportcontrolescreening, licentievereisten en operator-onboarding.

Ring0 is het processorprivilegeniveau dat gewoonlijk wordt geassocieerd met kernel-mode uitvoering op Windows. Het wordt gebruikt door de Windows-kernel en kernel-mode stuurprogramma's en biedt aanzienlijk meer besturingssysteemtoegang dan normale user-mode uitvoering.

Ring0 betekent niet absolute controle over elke systeemlaag. Hypervisors en virtualisatie-beveiligingscomponenten werken op een aparte virtualisatielaag buiten het normale ringmodel van het gastbesturingssysteem.

Binnen Windows stelt ring0-toegang KEF in staat om kernel-callbacks, procesbeschermingsniveaus, access tokens, minifilters, ETW-componenten, WFP-callouts en beschermde processtatus te inspecteren en ermee te interageren.

Ja. KEF is ontworpen om gecontroleerde Windows kernel-mode toegang te vestigen en escalatie van gast- of laaggeprivilegieerde contexten naar SYSTEM te ondersteunen tijdens geautoriseerde operaties.

De initiële KEF-toegangswerkstroom is niet afhankelijk van een conventionele software-exploit of een bekend kwetsbaar stuurprogramma van derden.

Succesvolle implementatie hangt af van de ondersteunde Windows-omgeving en toepasselijke apparaat-, stuurprogramma-, netwerk- en endpoint-beleidsregels.

Nee. KEF is niet afhankelijk van een zero-day kwetsbaarheid, een publiekelijk bekend kwetsbaar stuurprogramma of een conventionele kwetsbaar-stuurprogramma-exploit om zijn geprivilegieerde context te vestigen.

KEF gebruikt een speciaal gebouwd kernel-mode stuurprogramma als onderdeel van zijn hardware-ondersteunde werkstroom. Het stuurprogramma is niet afhankelijk van een gepubliceerde kwetsbaarheid in KEF of in een stuurprogramma van derden.

Aanvullende technische informatie kan worden verstrekt aan goedgekeurde klanten tijdens onboarding.

Nee. Het KEF-stuurprogramma staat niet op de Microsoft Vulnerable Driver Blocklist en KEF is niet afhankelijk van een bekend kwetsbaar stuurprogramma van derden.

KEF gebruikt een speciaal gebouwd kernel-mode stuurprogramma om de geprivilegieerde context te vestigen die vereist is voor geautoriseerde kernel-level operaties. Het gebruik van een kernel-mode stuurprogramma betekent niet dat het stuurprogramma zelf kwetsbaar is.

Het KEF hardwarecomponent is een compact USB-operatorapparaat dat gecontroleerde toegang tot de tool biedt.

Het apparaat blijft standaard inactief. Voordat het kan worden gebruikt, moet de operator een geldige activeringssleutel invoeren die is gegenereerd via de KEF Client Web Interface.

Elke activeringssleutel maakt het apparaat maximaal 24 uur bruikbaar. Nadat die periode is verstreken, is een nieuwe activeringssleutel vereist. Sleutelgeneratie blijft beschikbaar zolang het WebSec-abonnement van de klant actief en geautoriseerd is.

De standaard KEF hardware-werkstroom vereist:

• Een internetverbinding voor authenticatie en abonnementsvalidatie
• Windows-beleid dat de vereiste stuurprogramma-werkstroom van derden toestaat
• Windows Update en relevante trustservices die beschikbaar blijven
• Apparaatbeheer- en applicatiebeheerbeleid dat de vereiste hardware- en stuurprogrammacomponenten toestaat

Deze voorwaarden zijn standaard aanwezig in veel ondersteunde Windows-omgevingen, waaronder beveiligde bedrijfsnetwerken.

KEF moet niet worden beschreven als universeel ondetecteerbaar.

In WebSec-testen produceerde de initiële stuurprogramma-aanroep geen bruikbaar conventioneel logging-artefact voor gewone SOC-monitoring. Individuele KEF-mogelijkheden kunnen nog steeds detecties genereren, afhankelijk van de geselecteerde actie, het endpoint-beveiligingsproduct, geconfigureerd beleid, beschikbare telemetrie en detectieregels.

Dit maakt KEF geschikt voor het evalueren van zowel beveiligingscontrole-weerbaarheid als defensieve zichtbaarheid.

KEF bevat een breed en continu groeiend scala aan Windows kernel-level mogelijkheden. Om er een paar te noemen:

• Ring0-toegang en privilege-escalatie
• Proces- en access-tokencontrole
• PPL- en integriteitsniveau-wijziging
• Kernel callback- en minifilterbeheer
• ETW-provider inspectie en controle
• WFP-callout inspectie en testen
• User-mode hook verwijdering
• Gecontroleerde LSASS-geheugenverwerving
• Kernel-ondersteunde DLL-injectie
• Beveiligingsstatus inspectie en herstelwerkstromen

Dit is geen volledige lijst van KEF's mogelijkheden. WebSec ontwikkelt de tool actief en voegt continu nieuwe en innovatieve tactieken, technieken en ondersteunende modules toe op basis van Windows internals-onderzoek, real-world red team-vereisten en defensieve controlevalidatie.

KEF ondersteunt zowel een grafische interface als een terminalgebaseerde TUI/CLI-modus. Het registreert ook ondersteunde operatoracties en tijdstempels, waardoor red teams en detection engineers activiteit kunnen correleren met meldingen, gemiste detecties en defensieve telemetrie.