PebGhost загружает неподписанные драйверы в ядро

PebGhost представляет собой вредоносный загрузчик ядра, обнаруженный при поиске случаев злоупотребления драйверами ядра. Он принимает от клиентского процесса в пользовательском режиме неподписанный драйвер ядра и загружает его в ядро.

Драйвер PebGhost подписали через Microsoft Windows Hardware Compatibility Program с использованием учётной записи OBSS. Первый обнаруженный драйвер подписали 7 марта 2026 года, последний зафиксированный случай подписания датирован 16 сентября 2026 года. Подход разделяет подписанный компонент и полезную нагрузку: злоумышленник может использовать подписанный загрузчик для запуска неподписанных драйверов, не получая отдельную подпись для каждого из них. Такой же подход наблюдали и в других загрузчиках ядра, подписанных с использованием других учётных записей.

В описании также фигурируют запрос IOCTL 0x222004 и необычное ограничение функции мониторинга руткита: она не сохраняет состояние между запросами. Для каждого следующего запроса IOCTL клиент должен передавать ещё один зашифрованный PE-файл и ключ RC4 через канал PEB, по-видимому, для повторной аутентификации. Поэтому клиенту загрузчика приходится многократно передавать зашифрованные данные драйвера и ключевой материал, чтобы продолжать использовать функцию, а не поддерживать непрерывную сессию.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.