Skydda din PC mot KASLR-bypass-hot på kärnminnet

Skydda din PC mot KASLR-bypass hot genom att upptäcka sårbara LOLDrivers och aktivera säkerhetsåtgärder för att förhindra skadlig programvara från att komma åt kärnminnet.

Windows-kärnan kopplar din PCs hårdvara till operativsystemet. Dess standardiserade säkerhet gör det extremt svårt för skadlig programvara att tränga igenom. Men en ny typ av KASLR-bypass hot utnyttjar LOLDrivers och cache-timningar för att kringgå högsta åtkomstbehörigheter. Även om de riktar sig mot äldre system, har dessa attacker nyligen visat sig påverka Windows 11 24H2, vilket exponera kärnminnet. Här är hur du kan stänga dessa sista säkerhetsluckor.

Varför KASLR-bypass-hot kräver ditt fokus

Windows-kärnan kontrollerar åtkomst till systemresurser som minne, CPU och anslutna enheter. För att skydda detta använder Windows Kernel Address Space Layout Randomization (KASLR), som slumpar minneslokationer. Att kringgå detta är mycket svårt, vilket gör det svårare för kärnnivå skadlig programvara att komma in.

Men i juni 2025 användes en HVCI-kompatibel drivrutin, eneio64.sys, för att kringgå KASLR på Windows 11 24H2. enios64.sys faller in i kategorin Living off the Land (LOLDrivers) som kan komprometteras med vad som kallas en "Low Stub"-metod.

I detta fall använder författarna av skadlig programvara gissningar och minnesgenomsökning för att avslöja den grundläggande minnesadressen för din PC. Att kringgå kärnan är en väg till verkliga attacker, och detektionutmaningarna indikerar en hög nivå av hotallvarlighet.

Du kan söka efter sådana drivrutiner i System32-mappen. Om du inte hittar dem är det ett gott tecken eftersom det innebär att dessa drivrutiner inte har installerats eller har tagits bort.

En annan utnyttjande som användes i maj 2025 använde cache-timningar för att kringgå hela KASLR-säkerhetsmekanismen. Här mätte angriparna åtkomsttider till potentiella kärnadresser inom ett "0xfff"-intervall, utan att behöva behörigheter som SeDebugPrivilege.

Naturligtvis riktade denna sidokanalattack främst in sig på Windows 10-system och äldre Windows 11-versioner (21H2, 22H2, 23H2). Det är därför vi rekommenderar Windows 11-användare att migrera till 24H2 eller högre. Om du har problem med kompatibilitet för 24H2 har vi testade lösningar som du kan använda för att uppgradera smidigt.

Håll koll på LOLDrivers för att förhindra KASLR-bypass-hot

Sedan Windows 11 24H2 har kärnsäkerheten förstärkts ytterligare med SeDebugPrivilege. Ändå har författare av skadlig programvara börjat utnyttja KASLR-bypass-tekniker genom LOLDrivers för att få tillgång till 24H2-versionen av Windows 11.

För att ta reda på om din PC har några systemdrivrutiner som behöver uppmärksamhet, öppna PowerShell i administratörsläge och skriv:

Get-WindowsDriver -Online | Where-Object {$_.OriginalFileName -match "sys"} | Format-Table OriginalFileName, ProviderName

När listan har fyllts kan du hålla ögonen på LOLDrivers om du får ett tips. Det finns så många exempel på LOLDrivers, såsom MsIo64.sys, nt3.sys, eller VBoxTap.sys. För att leta efter dem, kontrollera en universell lista över sådana drivrutiner.

Microsoft underhåller en uppdaterad lista över blockerade eller föråldrade drivrutiner inklusive LOLDrivers. Du kan ladda ner dem som en XML-fil och söka efter specifika, såsom enio64.sys, med hjälp av:

Get-WindowsDriver -Online | Where-Object {$_.OriginalFileName -match "eneio64.sys"}

Den detaljerade metoden ovan garanterar att din enhet är fri från sårbara LOLDrivers som kan orsaka en KASLR-bypass. Ett enklare sätt att tillämpa denna blocklista på Windows 11/10 är att öppna Windows-säkerhet -> Enhetssäkerhet -> Kärnisolering.

och säkerställ att Minne Integritet är aktiverat.

KASLR-bypassmetoder liknar Winos 4.0-malware. Båda är ihållande, och payloaden levereras i en kedja. Genom att verifiera de digitala signaturerna av installatörer och aktivera skydd i Windows Security-appen skyddar du dig mot sådana hot.

Förhindra KASLR Evasions i Windows 10 genom att Tvinga SeDebugPrivilege

Side-channel-attacker som cache-timing utgör en annan stor källa till KASLR-bypasshot. Kärnadresser läcker när angripare använder olika tekniker för att manipulera kärnminnet direkt utan att behöva SeDebugPrivilege, vilket har varit ett strikt krav sedan Windows 11 24H2.

Men även om du använder Windows 10 eller en äldre version av Windows 11 kan du tvinga SeDebugPrivilege. Det är en enkel systemjustering som gör din Windows-kärna immun mot gissningsbaserade attacker.

På en Windows 10/11 Pro/Enterprise-enhet, använd kommandot Kör, skriv secpol.msc. Detta öppnar fönstret Lokala säkerhetspolicy. Gå till Lokala policyer -> Tilldelning av användarrättigheter. Dubbelklicka på Debug-program.

Om, för en viss uppsättning användare, såsom Administratörer, Debug-program är aktiverat, behöver du inte göra något. Annars, klicka på Lägg till användare eller grupp för att aktivera det i listan.

Klicka på Kontrollera namn. När du lagt till de andra användarnamnen på din dator, klicka på OK, och sedan Tillämpa -> OK på föregående skärm.

Om du är en Windows 10/11 Home-användare kan du inte komma åt den Lokala säkerhetspolicyn på ditt system. I så fall, öppna Registerredigeraren genom att skriva regedit. Nästa gå till

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

Om det inte finns, lägg till en ny nyckel med namnet Lsa. Efter det, högerklicka för att skapa ett REG_SZ-värde kallat SeDebugPrivilege. Ändra dess värde till Administratörer. Se till att säkerhetskopiera ditt register innan du gör denna redigering.

För att hantera malwarehot på kärnnivå som KASLR-bypassmetoder är det avgörande att förhindra installation av drivrutiner som Windows Security inte vill att du ska installera. Om du verkligen behöver installera osignerade drivrutiner, följ våra tips. Microsoft släpper ofta patchar för att åtgärda nyupptäckta sårbarheter. Att hålla din PC uppdaterad och att migrera till den senaste versionen av Windows är självklart avgörande.

Svar på dina vanliga frågor

Måste man ha virusskydd på PC?

Att ha virusskydd på din PC är mycket viktigt av följande skäl:

• -

Skydd mot virus och malware

: Både mobila enheter och datorer är känsliga för virus och malware. Utan ett antivirusprogram riskerar du att drabbas av skadlig kod som kan stjäla personlig information eller orsaka systemfel.
• Säkerhet för flera enheter: Ett effektivt antivirusprogram skyddar inte bara din dator utan även andra enheter, vilket säkerställer ett helhetsskydd mot potentiella hot.
• Kontinuerlig övervakning: Många antiviruslösningar erbjuder realtidsövervakning, vilket betyder att de kan identifiera och blockera hot innan de når din PC.
• Automatiska uppdateringar: Antivirusprogram får regelbundet uppdateringar för att hålla sig aktuella mot nya hot, vilket gör att ditt skydd alltid är på topp. Sammanfattningsvis är ett antivirusprogram en nödvändighet för att skydda din PC och andra enheter från skadlig programvara och säkerhetsrisker.

Räcker Windows Defender mot ransomware?

Windows Defender erbjuder en grundläggande skyddsnivå mot ransomware genom att blockera obehöriga program från att kryptera filer i kontrollerade mappar. Här är några viktiga punkter att överväga:

• -

Kontrollerade mappar

: Denna funktion skyddar känsliga mappar från ransomware-attacker genom att endast tillåta betrodda appar att göra ändringar.
• Realtidsövervakning: Windows Defender övervakar systemet i realtid för att identifiera och blockera hot innan de orsakar skada.
• Automatiserade uppdateringar: Programmet uppdateras regelbundet för att hålla sig i framkant mot nya hot. Trots dessa fördelar är det viktigt att notera att Windows Defender kanske inte är tillräckligt ensamt för kompletta skyddslösningar. För ökad säkerhet kan det vara klokt att komplettera med andra säkerhetsåtgärder, som:
• Backup-lösningar: Regelbundna säkerhetskopior av viktiga filer kan skydda mot dataförlust.
• Tredjeparts antivirusprogram: Dessa kan erbjuda mer avancerade skyddsfunktioner och specifika ransomware-skydd. Sammanfattningsvis, medan Windows Defender erbjuder användbara skyddsmekanismer mot ransomware, bör det betraktas som en del av en bredare säkerhetsstrategi.

Hur låser man en PC?

För att låsa en PC snabbt och enkelt finns det några olika metoder att välja mellan:

• Manuell låsning:
  • - Tryck på

  Windows-tangenten + L

  . Detta låser omedelbart skärmen.
• Automatisk låsning:
• Du kan ställa in din PC så att skärmen låses automatiskt efter en viss tidsperiod av inaktivitet. Detta säkerställer att din enhet skyddas även om du glömmer att låsa den manuellt.
• För att aktivera detta:
• Gå till Inställningar > Konton > Inloggningsalternativ.
• Aktivera alternativet för automatisk låsning och välj tidsintervallet. Genom att använda dessa metoder kan du effektivt skydda din PC och säkerställa att obehöriga inte får tillgång till dina uppgifter.

Har Windows 10 inbyggt virusskydd?

Ja, Windows 10 har inbyggt virusskydd. Här är några viktiga punkter:

• -

Microsoft Defender Antivirus

: Kostnadsfritt och ingår alltid i Windows 10.
• Automatiskt skydd: Alltid aktiverat och arbetar kontinuerligt för att skydda mot skadlig kod.
• Skydd mot falska program: Hjälper till att förhindra att hackare och bedragare lurar dig att installera skadliga program. Det är ett pålitligt alternativ för grundläggande virusskydd utan extra kostnad.

Nu när du har läst klart Skydda din PC mot KASLR-bypass-hot på kärnminnet, inbjuder vi dig att utforska kategorin Windows ytterligare. Där hittar du fler intressanta artiklar som kommer att utöka dina kunskaper och hålla dig informerad. Sluta inte läsa och upptäcka mer!