BEGIN:VCALENDAR
VERSION:2.0
PRODID:-//pretalx//talks.openalt.cz//openalt-2026//speaker//3RLKLK
BEGIN:VTIMEZONE
TZID:CET
BEGIN:STANDARD
DTSTART:20001029T040000
RRULE:FREQ=YEARLY;BYDAY=-1SU;BYMONTH=10
TZNAME:CET
TZOFFSETFROM:+0200
TZOFFSETTO:+0100
END:STANDARD
BEGIN:DAYLIGHT
DTSTART:20000326T030000
RRULE:FREQ=YEARLY;BYDAY=-1SU;BYMONTH=3
TZNAME:CEST
TZOFFSETFROM:+0100
TZOFFSETTO:+0200
END:DAYLIGHT
END:VTIMEZONE
BEGIN:VEVENT
UID:pretalx-openalt-2026-MMVNS9@talks.openalt.cz
DTSTART;TZID=CET:20261107T130000
DTEND;TZID=CET:20261107T144500
DESCRIPTION:Windows kernel driver běží v Ring 0\, tedy na stejné úrovn
 i jako samotné jádro operačního systému. Když takový driver obsahuj
 e zranitelnost\, útočník přes ni obejde všechny bezpečnostní hranic
 e\, na kterých celý systém stojí.\n\nV tomhle talku ukážu\, jak jsem
  od nuly napsal funkční privilege escalation exploit pro reálný podeps
 aný Windows driver `ktapi.sys`\, který neprivilegovaným procesům umož
 ňuje libovolný přístup k fyzické paměti. Nezačínám ale exploitem.
  Nejdřív pořádně rozeberu\, jak funguje Windows kernel: ochranné rin
 gy\, virtuální a fyzická paměť\, překlad adres přes CR3 a čtyři 
 úrovně tabulek stránek. Pak vysvětlím\, jak fungují ovladače a pro
 č je jejich podpis a běh v Ring 0 tak citlivý\, a jak se na drivery obe
 cně útočí. Teprve s tímhle kontextem má smysl jít do konkrétního 
 případu.\n\n`ktapi.sys` jsem analyzoval sám\, protože žádná veřejn
 á analýza neexistovala. Projdeme reverzní inženýrství ovladače v Gh
 idře\, ruční průchod page tables\, překlad virtuálních adres na fyz
 ické\, nalezení struktury EPROCESS a krádež SYSTEM tokenu pro eskalaci
  na `NT AUTHORITY\\SYSTEM`. Skončím funkčním PoC a živou ukázkou.\n\
 nCelý talk stavím tak\, aby dával smysl i bez předchozí zkušenosti s
  kernel exploitací. Že nejde o akademický problém\, ukazuje i to\, že
  zranitelné podepsané ovladače tohohle typu reálně zneužívají rans
 omware skupiny k vypnutí ochran a eskalaci práv. Na konci se proto podí
 váme na obranu\, konkrétně HVCI\, WDAC a LOLDrivers blocklist\, a na to
 \, že ani plně aktualizovaný systém nemusí stačit.\n\nCo si odnesete
 : jak reálně vypadá cesta od reverzního inženýrství podepsaného ov
 ladače k funkčnímu SYSTEM exploitu\, jak ransomware skupiny dokážou z
 neužít podobných chyb a ovládnou systém\, proč je podpis ovladače s
 ám o sobě slabá záruka\, a jaké obrany proti téhle třídě útoků 
 skutečně fungují.
DTSTAMP:20261030T161314Z
LOCATION:A112
SUMMARY:Od uživatele k SYSTEMu: jak jsem exploitoval zranitelný kernel dr
 iver - Vojtěch Hron
URL:https://talks.openalt.cz/openalt-2026/talk/MMVNS9/
END:VEVENT
END:VCALENDAR