Heaven's Gate

Définition

Heaven's Gate est une technique d'évasion avancée permettant à un processus 32 bits s'exécutant sur un système Windows 64 bits (via le sous-système WoW64 — Windows on Windows 64) de basculer vers le mode d'exécution 64 bits pour appeler directement des syscalls 64 bits du kernel. Cette technique est utilisée pour contourner les hooks userland des EDR qui instrumentent uniquement le code 32 bits dans les processus WoW64. Sur Windows 64 bits, les processus 32 bits s'exécutent dans un émulateur WoW64 qui traduit les appels syscall 32 bits vers leurs équivalents 64 bits. WoW64 maintient deux tables de segments : cs=0x23 pour le mode 32 bits et cs=0x33 pour le mode 64 bits. En chargeant le sélecteur 0x33 dans CS via une instruction far jump ou far call, le code passe en mode 64 bits au sein du même processus. Une fois en mode 64 bits, le code peut appeler directement les syscalls 64 bits du kernel (en utilisant les SSN 64 bits corrects) sans passer par les APIs 32 bits de ntdll.dll WoW64, qui sont hookées par les EDR. Les hooks installés par les EDR dans le ntdll.dll 32 bits deviennent inutiles car le code les contourne entièrement. La technique est principalement utile dans les contextes où un processus 32 bits doit contourner les protections EDR pour des opérations de post-exploitation (injection de code, accès à la mémoire d'autres processus). Elle ne s'applique pas aux processus 64 bits natifs qui n'utilisent pas le subsystème WoW64.