如何定位引发Windows BSOD（Bug Check 0x139）的Cortex XDR故障驱动？

问题描述 #

开发机运行Cortex XDR Agent 8.1.1版本，调用CreateToolhelp32Snapshot(TH32CS_SNAPHEAPLIST, 8456)（进程8456对应cytray.exe）时，Cortex弹出“Malicious tampering threat detected”提示，随后系统触发Bug Check 0x139（内存页损坏）并出现BSOD。

最小复现代码（Visual C++ 2022 Release x64编译）：

// HeapTest.c - Release x64 build with Visual C++ 2022 
// BSOD with Bug Check 0x139 in Cortex XDR

#include <windows.h>
#include <tlhelp32.h>

int main()
{
    CreateToolhelp32Snapshot(TH32CS_SNAPHEAPLIST, 8456);
}

系统已在%SystemRoot%\Minidump生成小型转储文件，Windbg调试显示存在内存页损坏，触发Cortex Anti Tampering Protection规则anti_tampering.8，故障大概率出自Cortex XDR相关驱动，需确定具体故障sys驱动名称。

确定故障驱动的方法 #

• 加载转储文件到Windbg后，执行!analyze -v命令：
  • 查看输出中的MODULE_NAME字段，该字段通常会直接指向引发崩溃的驱动文件
  • 若MODULE_NAME不明确，检查STACK_TEXT区域的栈帧记录，寻找带有Cortex/Palo Alto标识的驱动文件名（常见如CyMemDefense.sys、CyProtect.sys等）
• 执行!drvobj * 2命令，列出所有已加载的驱动对象，筛选名称包含Cortex相关关键词的条目，结合崩溃栈信息交叉验证
• 对疑似驱动执行lmvm <驱动名>命令（例如lmvm CyMemDefense），查看驱动的版本、加载地址等细节，确认其与崩溃场景的关联性

内容的提问来源于stack exchange，提问作者vengy