Windows Kernel Exploitation Framework

Het Kernel Exploitation Framework (KEF) is een gespecialiseerd Windows offensive security platform ontwikkeld door WebSec.

De software biedt bevoegde operators kernel-mode functionaliteit voor privilege-escalatie, proces- en tokenmanipulatie, callback-beheer, ETW-onderzoek, WFP-callout-inspectie en het testen van credential-bescherming.

WebSec levert KEF aan geautoriseerde red teams, overheidsdiensten, wetshandhaving, inlichtingenteams, beveiligingsonderzoekers en specialisten in defensieve controlevalidatie.

WebSec verspreidt KEF niet publiekelijk en verkoopt het niet als algemene software.

Wij verlenen uitsluitend toegang aan geverifieerde organisaties met een duidelijke operationele noodzaak, zoals:

• Overheidsbeveiligingsdiensten
• Militaire cybereenheden
• Wetshandhavingsorganisaties
• Inlichtingenteams
• Goedgekeurde red team-providers
• Kritieke infrastructuur-beveiligingsteams
• Goedgekeurde cybersecurity-onderzoeksorganisaties

Iedere aanvrager doorloopt een strikte organisatieverificatie, eindgebruikerscontrole, exportcontrolescreening, licentieovereenkomst en een operator-onboardingtraject.

Onder Windows verwijst ring0 naar het hoogste processor-privilegeniveau voor kernel-mode uitvoering. De Windows-kernel en systeemstuurprogramma's draaien hier, met aanzienlijk diepere toegang en bevoegdheden dan normale processen in user mode ooit krijgen.

Ring0 betekent overigens geen onbeperkte controle over werkelijk elke systeemlaag. Hypervisors en virtualisatie-beveiliging (VBS) functioneren in aparte isolatielagen buiten het gangbare CPU-ringmodel van het gastbesturingssysteem.

Binnen Windows geeft ring0-toegang KEF echter directe controle over actieve kernel-callbacks, procesprotectieniveaus, access tokens, minifilters, ETW-providers, WFP-callouts en beschermd procesgeheugen.

Ja. KEF stelt operators in staat om vanuit gastaccounts of standaard gebruikersrechten gecontroleerd te escaleren naar SYSTEM-rechten tijdens bevoegde operaties.

De initiële toegangsmethode leunt niet op traditionele software-exploits of bekende kwetsbare stuurprogramma's van derden.

Een succesvolle inzet blijft afhankelijk van de geteste Windows-versie en de geldende beleidsregels voor externe apparaten, stuurprogramma's en netwerktoegang.

Nee. KEF heeft geen zero-day lekken, publiek bekende kwetsbare stuurprogramma's of typische BYOVD-aanvalsketens nodig om ring0-toegang te realiseren.

Het platform combineert een hardwarematige werkstroom met een eigen, speciaal ontwikkeld kernel-stuurprogramma. Dit stuurprogramma berust niet op ongepatchte fouten in KEF of externe software.

Goedgekeurde organisaties ontvangen gedetailleerde technische architectuurdocumentatie tijdens het onboardingtraject.

Nee. Het stuurprogramma van KEF staat niet vermeld op Microsofts Vulnerable Driver Blocklist, en de tool gebruikt geen bekende kwetsbare drivers van derden.

KEF gebruikt een eigen stuurprogramma dat gericht is ontwikkeld voor geautoriseerd offensive security-onderzoek. Het inzetten van een valide kernel-driver impliceert geenszins dat de code zelf kwetsbaar is.

De KEF-hardwaremodule is een compact USB-apparaat dat veilige toegang tot het framework beheert.

Het apparaat blijft standaard vergrendeld. Voor ingebruikname voert de operator een geldige sleutel in die wordt gegenereerd via de KEF Client Web Interface.

Elke sleutel activeert het apparaat voor maximaal 24 uur; daarna moet een nieuwe sleutel worden aangevraagd. Klanten kunnen sleutels aanmaken zolang hun WebSec-overeenkomst actief en goedgekeurd is.

Voor de reguliere hardware-werkstroom van KEF geldt:

• Een actieve internetverbinding voor licentie- en sleutelverificatie
• Windows-groepsbeleid dat de benodigde stuurprogramma-werkstroom toestaat
• Bereikbaarheid van Windows Update en Microsofts trust-verificatiediensten
• Apparaat- en applicatiebeheerregels die de hardware en drivers toelaten

De meeste gangbare zakelijke Windows-omgevingen voldoen hier standaard aan, zelfs wanneer ze zwaar zijn verhard.

Geen enkel beveiligingsinstrument is universeel ondetecteerbaar, en dat geldt ook voor KEF.

Tijdens WebSec-laboratoriumtesten liet de initiële driver-aanroep geen standaard logsporen achter voor reguliere SOC-monitoring. Specifieke modules en post-exploitatieacties kunnen weliswaar meldingen triggeren, afhankelijk van de actieve EDR, detectielogica en ingestelde telemetriediepte op het eindpunt.

Die eigenschap maakt KEF juist bijzonder waardevol om zowel controle-omzeilingen als de effectiviteit van monitoring te meten.

KEF biedt een omvangrijk pakket aan Windows kernel-level functionaliteiten, waaronder:

• Ring0-toegang en privilege-escalatie
• Proces- en access-tokencontrole
• PPL- en integriteitsniveau-wijziging
• Kernel callback- en minifilterbeheer
• ETW-provider inspectie en controle
• WFP-callout inspectie en testen
• Verwijderen van user-mode hooks
• Gecontroleerde LSASS-geheugenverwerving
• Kernel-ondersteunde DLL-injectie
• Inspectie van de beveiligingsstatus en herstelwerkstromen

Dit overzicht toont slechts de belangrijkste basisfuncties. WebSec breidt het platform doorlopend uit met nieuwe technieken, modules en werkwijzen, gevoed door actueel onderzoek naar Windows-internals, operationele praktijkervaring en controlevalidatie.

Operators bedienen KEF via een visuele desktop-GUI of een compacte terminal-TUI/CLI. Ingebouwde logging legt acties met exacte tijdstempels vast, zodat red teams en verdedigers teststappen feilloos koppelen aan detectiemeldingen en telemetriegaten.