KaosArbitrium

Scholar of whatever peeks my interest at the time.

[KaosArbitrium @KaosArbitrium]

"Give me seven lines from the most honest man alive, and in them I shall find something for which he shall hang."

Never has something better described the United States Senate

[KaosArbitrium @KaosArbitrium]

@milified You sound like a high stress individual. Perhaps that is your problem.

[KaosArbitrium @KaosArbitrium]

@AugustinGithaka @Level1Techs

[KaosArbitrium @KaosArbitrium]

@hunnypaint Ew

[KaosArbitrium @KaosArbitrium]

@sullrich @tekwendell Thoughts?

[KaosArbitrium @KaosArbitrium]

@sfdxpro We already have tech better than ray tracing. It's called path tracing, and there's GPU manufacturers betting they can do it better than Nvidia getting millions in start up capital

[KaosArbitrium @KaosArbitrium]

@otherhappyplace *Which is why we go to them the soonest.
Come on it writes itself.

[KaosArbitrium @KaosArbitrium]

@vxunderground Stinky I think this is meant for you

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

Microsoft自身がDefenderに同梱して署名したカーネルドライバーだけで、あらゆるEDRを外部持ち込みなしに強制終了できるPoCツール「DefenderKiller」の解析が公開されました。脆弱なドライバーを外から持ち込む従来のBYOVDと違い、標的環境に最初から存在するMicrosoft署名済みドライバー（KSLDriver[.]sys）を悪用するため、ドライバー署名強制もブロックリストも素通りし、公開時点でVirusTotalの検知は70製品中ゼロだったとのことです。

【手口の詳細】

・KSLDriver[.]sysはWindows-Defenderのカーネルサポート基盤の一部としてMicrosoftが正規に署名したドライバーで、Windows-7〜11の署名強制（2026年4月のドライバー信頼ポリシー有効時を含む）を通過。Microsoftの脆弱ドライバーブロックリスト（DriverSiPolicy[.]p7b）は設計上Microsoft自身の署名ドライバーを除外するため、無警告でのロード

・唯一のアクセス制御はレジストリ値AllowedProcessNameに登録されたプロセスのNTパスとの照合のみ。ドライバーのロードには元々管理者権限が必要なため、自分の実行ファイルのパスを事前に書き込めば署名も証明書も検証されず認証を通過

・最も巧妙な点は、プロセス終了がIOCTL送信時ではなくハンドルを閉じた瞬間（IRP_MJ_CLEANUP）に発火する設計。IOCTL（コード0x222044のサブコマンド8）は対象のPIDをEPROCESS参照として保存するだけで、CloseHandleでカーネルがZwTerminateProcessを呼び出して初めて対象が停止する仕組み

・カーネルモードのZwOpenProcess／ZwTerminateProcessはユーザーモードからのアクセスを拒むPPL（Protected-Process-Light）保護の制約を受けないため、通常は外部から終了できない保護されたEDRプロセスも強制終了が可能。実証ではCrowdStrike-Falconのサービスプロセスの停止に成功したとの報告

・限界はプロセス終了のみで任意メモリの読み書きはできない点、および一部EDRがwatchdogやセカンダリのカーネルコンポーネントでプロセスを再生成しうる点。ただし対象プロセス名を列挙してループで狙えば回避可能との報告

・関連する既報として、4月に別の研究者が別のMicrosoft署名済みドライバー（別IOCTL・別ツールPoisonKiller）で同種の強制終了を実証した事例も紹介済み。Microsoftの署名信頼の仕組みを署名済みドライバー自体で突く手口が複数の独立した研究から報告されている状況

Microsoftが自ら署名したプロセスキラーが10年以上Defenderに同梱されたまま、同社自身のあらゆる保護を回避できる状態で放置されてきたと指摘されています。

詳細は以下を参照：
https://t.co/r4G0VPLLJa

(※可能な範囲でファクトチェックは実施済なものの、元記事の精度依存や速報・要約の性質上漏れもありうるため、正確な情報は一次情報を直接参照のこと)

[KaosArbitrium @KaosArbitrium]

@rekdt Even just "T-OTP" would be better, since it preserves the recognizable acronym.
Though I will continue to argue that not everything needs a fucking acronym.

[KaosArbitrium @KaosArbitrium]

@wccftech I wonder if this could be brought into laptops/mini-pcs as well. That'd make things exceedingly interesting

[KaosArbitrium @KaosArbitrium]

@vxunderground Oh, so 2007 me wasn't crazy. Cool, cool cool cool. Cool.

[KaosArbitrium @KaosArbitrium]

@Pirat_Nation @LinusTech acquire one for my entertainment, please

[KaosArbitrium @KaosArbitrium]

@wccftech So... the pseudoscientist continues to complain about the realities of science in order to appeal to people who have no idea what he's talking about. Business as usual.

[KaosArbitrium @KaosArbitrium]

@CrevettaVT You already successfully sell feet pics. You'd do just fine if you wanted to

[KaosArbitrium @KaosArbitrium]

@iFooYa Brembo brake rotors: $200 as a pair
Brake pads: $100 as a kit ($150 for "track spec")

You are being ripped off paying $1400 for these parts.
That's why people are telling you to either go somewhere else or do it yourself.
https://t.co/Qf41yYjKEs

[KaosArbitrium @KaosArbitrium]

@vxunderground I thought SteamOS was arch based and used the arch repository?

[KaosArbitrium @KaosArbitrium]

@WarMonitor3 Probably because the issue is "how" it is being done, not just "what" is being done in the most simplified, statistical framework.

[Your Comrade drlearnalot @DrLearnALot]

It’s all made up and we can make it different.

[KaosArbitrium @KaosArbitrium]

@kvwviiju Your factory settings are absolutely beautiful

[KaosArbitrium @KaosArbitrium]

@Alison_is_lost Peter would be so proud

[KaosArbitrium @KaosArbitrium]

@CodyHargreaves Can you say when the NDA is expected to end?