Glosario
Lista de bloqueo de controladores vulnerables
Lista de Microsoft de controladores de kernel firmados pero explotables que Windows se niega a cargar, lo que bloquea los ataques «bring your own vulnerable driver».
La lista de bloqueo de controladores vulnerables de Microsoft es una directiva de App Control para empresas que enumera controladores de kernel firmados legítimamente pero con vulnerabilidades conocidas, comportamiento malicioso o que se han usado para eludir la seguridad. Windows se niega a cargar los controladores de la lista. Desde la actualización 2022 de Windows 11 está habilitada de forma predeterminada en todos los dispositivos y (salvo en Windows Server 2016) se aplica siempre que la integridad de memoria (HVCI), Control inteligente de aplicaciones (Smart App Control) o el modo S están activos. La lista se actualiza trimestralmente y la copia integrada se distribuye con las actualizaciones mensuales de Windows; Microsoft también publica la versión más reciente como directiva XML que las organizaciones pueden implementar con más frecuencia mediante App Control.
En un ataque bring-your-own-vulnerable-driver (BYOVD), un atacante con privilegios de administrador carga un controlador antiguo y firmado y aprovecha su fallo para leer o escribir en la memoria del kernel, normalmente para terminar los procesos del EDR. Confirme que la opción "Microsoft Vulnerable Driver Blocklist" está activada, implemente la directiva XML actual de Microsoft en los sistemas de alto valor y supervise los eventos de integridad de código 3076 (auditoría) y 3077 (aplicación) para detectar cargas bloqueadas.
Consulte Lista de bloqueo de controladores vulnerables de Microsoft.