Die Schwachstelle steckt im Windows-Kerneltreiber PCTCore64.sys der Sicherheitssoftware PC Tools Internet Security. Der Treiber stellt eine WDM-Geräteschnittstelle namens PCTCoreDriver bereit, schützt den Zugriff darauf jedoch nicht ausreichend: Auch gewöhnliche Programme im Benutzermodus können sich mit der Schnittstelle verbinden und dort IOCTL-Befehle aufrufen, die eigentlich privilegierten Komponenten vorbehalten sein müssten. Ein Angreifer, der bereits lokalen Zugriff auf das System hat oder den betroffenen Treiber selbst laden kann, nutzt diese fehlende Zugriffskontrolle aus, um über den Treiber sensible und hochprivilegierte Operationen auf Kernel-Ebene auszuführen. Da der Treiber mit den weitreichenden Rechten des Betriebssystemkerns arbeitet, lässt sich auf diesem Weg die Trennung zwischen normalem Benutzerkonto und Systemrechten aushebeln. Solche verwundbaren, signierten Treiber werden typischerweise auch gezielt auf Systeme gebracht, um Schutzmechanismen zu umgehen.