0xKern3lCrush

أبحاث BYOVD على Windows في حالتين واقعيتين: برنامج Safetica ProcessMonitorDriver (CVE-2026-0828) وبرنامج ThrottleStop driver الذي استغله MedusaLocker (CVE-2025-7771). توثّق المستودع الواجهات المكشوفة، والنتيجة ذات الامتيازات التي يصل إليها كل منها، وكيفية اكتشاف الاستغلال. وهي تشحن استطلاعًا آمنًا في وضع المستخدم فقط: لا كود في وضع النواة، ولا استدعاء IOCTL، ولا روتين إنهاء العمليات.

ما هو 0xKern3lCrush؟

تحمي حماية نقاط النهاية بشكل متزايد عملياتها الخاصة بمستويات حماية ورموز مميزة مقيّدة، لذا ينقل المهاجمون المعركة إلى النواة عبر Bring Your Own Vulnerable Driver. يُسقطون برنامج تشغيل موقّعًا شرعيًا لكنه قابل للاستغلال، ويستدعون معالج IOCTL ضعيفًا، ويصلون إلى بدائية في النواة مثل إنهاء العمليات التعسفي أو قراءة وكتابة الذاكرة التعسفية.

يدرس هذا المستودع هذا النمط في حالتين عامتين ويحوّل كل واحدة منهما إلى مادة للكشف والتحصين.

المستودع دراسة، وليس سلاحًا. لا يحمل أي استغلال فعّال ولا أي كود في وضع النواة.

لماذا هذا مهم

حالتا Safetica وThrottleStop ليستا نظريتين. فقد تم تسليح ThrottleStop.sys من قبل مشغّلي MedusaLocker في اختراقات حقيقية، والنمط يتعمم عبر العشرات من برامج التشغيل الموقّعة المستغلة بين 2024 و2026. برنامج تشغيل يصل إلى إنهاء العمليات في النواة أو الكتابة في ذاكرة النواة هو مسار مباشر لإسكات حماية نقاط النهاية قبل وصول الحمولة.

مساهمة البحث

المساهمة هنا هي كتابة واضحة وقابلة للتكرار لكل حالة والمادة الدفاعية التي تنتج عنها:

• الجهاز المكشوف وسطح IOCTL لكل برنامج تشغيل
• السبب الجذري في كل معالج
• النتيجة ذات الامتيازات واستخدامها في العالم الحقيقي
• تجزئات أثر برنامج التشغيل ومرايا البحث العامة
• إرشادات الكشف والتخفيف

Safetica ProcessMonitorDriver - CVE-2026-0828

• الناشر: Safetica Endpoint Client x64.
• برنامج التشغيل: ProcessMonitorDriver.sys.
• الإصدارات المتأثرة: 10.5.75.0، 11.11.4.0.
• تاريخ النشر: يناير 2026 (أبحاث KOSEC في الأصل نوفمبر 2025).
• السبب الجذري: معالج IOCTL لا يتحقق من امتياز المستدعي ولا ينقّي المدخلات على مسار الإنهاء.
• النتيجة: يمكن لمستدعٍ غير مميز إنهاء عمليات تعسفية، بما في ذلك العمليات المحمية والحرجة للنظام، من سياق النواة.
• الاستخدام في العالم الحقيقي: بدائية BYOVD كلاسيكية. يُسقط المهاجم برنامج التشغيل، وينهي حماية نقاط النهاية، ويتابع بالحمولة.
• الحالة: لا يوجد تصحيح من المورّد مؤكد علنًا حتى فبراير 2026. تم نشر CERT VU#818729 في 20 يناير 2026.

التجزئات والمرايا المعروفة موجودة في drivers/0xhashes.md. الملاحظات الكاملة موجودة في research/0xsafetica-cve-2026-0828.md.

ThrottleStop - CVE-2025-7771

سَلّح مشغّلو MedusaLocker برنامج ThrottleStop.sys، وهو برنامج التشغيل من أداة TechPowerUp لخفض سرعة المعالج، في اختراقات حقيقية، بما في ذلك حادثة برازيلية حللتها Kaspersky في أغسطس 2025. وهو تدفق أكثر تقدمًا من قتل IOCTL المباشر.

• برنامج التشغيل: ThrottleStop.sys، أعيد تسميته إلى ThrottleBlood.sys من قبل المهاجمين، وموقّع من TechPowerUp بشهادة DigiCert EV لعام 2020.
• السبب الجذري: يكشف برنامج التشغيل عن IOCTLs تصل إلى MmMapIoSpace دون فحص وصول، لذا يمكن لمستدعٍ في وضع المستخدم قراءة وكتابة الذاكرة الفيزيائية.
• التدفق، للتحليل فقط:
  1. حمّل برنامج التشغيل المعاد تسميته كخدمة وافتح \\.\ThrottleStop.
  2. أرسل IOCTLs القابلة للاستغلال (قراءة فيزيائية 0x80006498، كتابة 0x8000649C).
  3. تجاوز KASLR بالاستعلام عن قاعدة النواة عبر NtQuerySystemInformation(SystemModuleInformation).
  4. ترجم العنوان الافتراضي إلى فيزيائي، غالبًا عبر تسريب معلومات SuperFetch.
  5. استبدل دالة نادرًا ما تُستخدم بخطاف.
  6. يصل الخطاف إلى مسار البحث عن العمليات وإنهائها ويقتل قائمة مضمّنة من عمليات الأمان.
  7. استعد البايتات الأصلية وانشر برنامج الفدية.
• النتيجة: إنهاء على مستوى النواة لعمليات الأمان المحمية، مما يسمح للتشفير بالمتابعة.
• الحالة: كان المورّد يحضّر تصحيحًا خلال 2025؛ لم يكن برنامج التشغيل على قائمة الحظر من Microsoft في البداية.

الملاحظات الكاملة موجودة في research/0xthrottlestop-medusalocker.md. المصدر الأساسي: Kaspersky Securelist، أغسطس 2025.

الكشف

• تحميل برنامج التشغيل: راقب خدمة نواة عشوائية أو معاد تسميتها تُنشأ من ملف .sys يتبعها بدء فورًا. معرّف الحدث 7045، ومع تدقيق الخدمات مفعّلًا، 4697.
• الوصول إلى الجهاز: المقابض المفتوحة على أسماء الأجهزة التي يكشفها كل برنامج تشغيل، من عملية غير متوقعة.
• IOCTL: رموز IOCTL للإنهاء والذاكرة الفيزيائية، مرتبطة بـ إنهاء عمليات الأمان المحمية.
• قائمة الحظر: أبقِ قائمة حظر برامج التشغيل القابلة للاستغلال من Microsoft وسياسة WDAC محدّثة؛ يفشل التحميل حيث يتم فرضها.

ملاحظات التخفيف موجودة في docs/0xmitigations.md.

الاستطلاع الآمن

src/0xPoC.c للقراءة فقط. يعدّد العمليات قيد التشغيل عبر واجهات Toolhelp32 APIs ويطبع أسماء منتجات الأمان الشائعة. إنها خطوة الاستطلاع الأولى ولا تنفذ أي إجراء ذي امتيازات.

# From a Visual Studio Developer Command Prompt
cl.exe /EHsc /W4 src/0xPoC.c
0xPoC.exe

هيكل المستودع

0xKern3lCrush/
|-- README.md
|-- LICENSE
|-- SECURITY.md
|-- src/
|   |-- 0xPoC.c          read-only process enumeration
|   +-- 0xtargets.h      target name list
|-- drivers/
|   +-- 0xhashes.md      artifact hashes and public mirrors
|-- research/
|   |-- 0xbyovd-patterns.md
|   |-- 0xsafetica-cve-2026-0828.md
|   +-- 0xthrottlestop-medusalocker.md
+-- docs/
    +-- 0xmitigations.md

القيود

• لا يوجد استغلال فعّال مضمّن، بحكم التصميم.
• الكتابات مبنية على إفصاحات عامة وتحليل ساكن.
• حالة قائمة الحظر خاصة بلقطة زمنية وتتغير بمرور الوقت.
• تغطية الإصدارات تعكس ما كان عامًا وقت الكتابة.

المراجع

• Safetica ProcessMonitorDriver، CERT VU#818729 (2026-01-20).
• Kaspersky Securelist، قاتل AV يستغل ThrottleStop.sys (2025-08).
• قائمة حظر برامج التشغيل القابلة للاستغلال من Microsoft.

الاستخدام المسؤول

هذا المشروع موجود للبحث والدفاع. حمّل برامج التشغيل هذه فقط على أنظمة تملكها أو مصرّح لك باختبارها، وفقط في بيئة معزولة مع لقطة للرجوع إليها. تحميل برنامج تشغيل موقّع قابل للاستغلال أو إرسال IOCTL مصمم دون تصريح غير قانوني في معظم الولايات القضائية.