0xKern3lCrush

Windows-BYOVD-Forschung anhand von zwei realen Fällen: dem Safetica ProcessMonitorDriver (CVE-2026-0828) und dem ThrottleStop-Treiber, der von MedusaLocker missbraucht wurde (CVE-2025-7771). Das Repository dokumentiert die exponierten Schnittstellen, das privilegierte Ergebnis, das jeweils erreicht wird, und wie der Missbrauch erkannt werden kann. Es liefert ausschließlich sichere User-Mode-Aufklärung: kein Kernel-Mode-Code, kein IOCTL-Aufruf und keine Prozessbeendigungsroutine.

Was ist 0xKern3lCrush?

Endpoint-Schutz sichert zunehmend die eigenen Prozesse mit Schutz- stufen und eingeschränkten Token ab, sodass Angreifer den Kampf mit Bring Your Own Vulnerable Driver in den Kernel verlagern. Sie platzieren einen legitimen, aber verwundbaren signierten Treiber, rufen einen schwachen IOCTL-Handler auf und erreichen ein Kernel-Primitiv wie willkürliche Prozessbeendigung oder willkürliches Lesen und Schreiben von Speicher.

Dieses Repository untersucht dieses Muster anhand von zwei öffentlichen Fällen und macht jeden davon zu Material für Erkennung und Härtung.

Das Repository ist eine Studie, keine Waffe. Es enthält keinen funktionierenden Exploit und keinen Kernel-Mode-Code.

Warum das wichtig ist

Die Fälle Safetica und ThrottleStop sind nicht theoretisch. ThrottleStop.sys wurde von MedusaLocker-Operatoren in realen Eindringfällen weaponisiert, und das Muster verallgemeinert sich über Dutzende signierter Treiber, die zwischen 2024 und 2026 missbraucht wurden. Ein Treiber, der Kernel-Prozessbeendigung oder Kernel-Speicherschreiben erreicht, ist ein direkter Weg, um Endpoint-Schutz zum Schweigen zu bringen, bevor eine Payload landet.

Forschungsbeitrag

Der Beitrag hier ist eine klare, reproduzierbare Beschreibung jedes Falls und des daraus folgenden defensiven Materials:

• die exponierte Geräte- und IOCTL-Oberfläche für jeden Treiber
• die Grundursache in jedem Handler
• das privilegierte Ergebnis und seine reale Nutzung
• Treiber-Artefakt-Hashes und öffentliche Forschungs-Mirrors
• Anleitung zur Erkennung und Minderung

Safetica ProcessMonitorDriver - CVE-2026-0828

• Herausgeber: Safetica Endpoint Client x64.
• Treiber: ProcessMonitorDriver.sys.
• Betroffene Versionen: 10.5.75.0, 11.11.4.0.
• Veröffentlicht: Januar 2026 (KOSEC-Forschung ursprünglich November 2025).
• Grundursache: Der IOCTL-Handler validiert nicht die Berechtigung des Aufrufers und bereinigt nicht die Eingabe auf dem Beendigungspfad.
• Ergebnis: Ein unprivilegierter Aufrufer kann willkürliche Prozesse beenden, einschließlich geschützter und systemkritischer, aus dem Kernel-Kontext.
• Reale Nutzung: ein klassisches BYOVD-Primitiv. Der Angreifer platziert den Treiber, beendet den Endpoint-Schutz und fährt mit der Payload fort.
• Status: kein Hersteller-Patch öffentlich bestätigt Stand Februar 2026. CERT VU#818729 wurde am 20. Januar 2026 veröffentlicht.

Bekannte Hashes und Mirrors sind in drivers/0xhashes.md. Vollständige Notizen sind in research/0xsafetica-cve-2026-0828.md.

ThrottleStop - CVE-2025-7771

MedusaLocker-Operatoren weaponisierten ThrottleStop.sys, den Treiber aus dem TechPowerUp-CPU-Throttling-Tool, in realen Eindringfällen, einschließlich eines brasilianischen Vorfalls, der im August 2025 von Kaspersky analysiert wurde. Es ist ein fortgeschrittenerer Ablauf als ein direkter IOCTL-Kill.

• Treiber: ThrottleStop.sys, von den Angreifern in ThrottleBlood.sys umbenannt, signiert von TechPowerUp mit einem DigiCert-EV-Zertifikat von 2020.
• Grundursache: Der Treiber exponiert IOCTLs, die MmMapIoSpace ohne Zugriffskontrolle erreichen, sodass ein User-Mode-Aufrufer physischen Speicher lesen und schreiben kann.
• Ablauf, nur Analyse:
  1. Den umbenannten Treiber als Dienst laden und \\.\ThrottleStop öffnen.
  2. Die verwundbaren IOCTLs senden (physisches Lesen 0x80006498, Schreiben 0x8000649C).
  3. KASLR umgehen, indem die Kernel-Basis über NtQuerySystemInformation(SystemModuleInformation) abgefragt wird.
  4. Virtuell zu physisch übersetzen, oft über ein SuperFetch-Informationsleck.
  5. Eine selten verwendete Funktion mit einem Hook überschreiben.
  6. Der Hook erreicht den Prozess-Lookup- und Beendigungspfad und beendet eine fest codierte Liste von Sicherheitsprozessen.
  7. Die ursprünglichen Bytes wiederherstellen und die Ransomware bereitstellen.
• Ergebnis: Kernel-Level-Beendigung geschützter Sicherheitsprozesse, was die Verschlüsselung ermöglicht.
• Status: Der Hersteller bereitete bis 2025 einen Patch vor; der Treiber stand zu Beginn nicht auf der Microsoft-Blocklist.

Vollständige Notizen sind in research/0xthrottlestop-medusalocker.md. Primärquelle: Kaspersky Securelist, August 2025.

Erkennung

• Treiberladen: auf einen zufälligen oder umbenannten Kernel-Dienst achten, der aus einer .sys-Datei erstellt und unmittelbar danach gestartet wird. Event ID 7045 und, bei aktivierter Dienstüberwachung, 4697.
• Gerätezugriff: Handles, die auf den von jedem Treiber exponierten Gerätenamen geöffnet werden, aus einem unerwarteten Prozess.
• IOCTL: die IOCTL-Codes für Beendigung und physischen Speicher, korreliert mit Prozessbeendigung geschützter Sicherheitsprozesse.
• Blocklist: die Microsoft-Blocklist für verwundbare Treiber und Ihre WDAC- Richtlinie aktuell halten; das Laden schlägt fehl, wo sie durchgesetzt werden.

Minderungshinweise sind in docs/0xmitigations.md.

Sichere Aufklärung

src/0xPoC.c ist schreibgeschützt. Es zählt laufende Prozesse über die Toolhelp32-APIs auf und gibt die Namen gängiger Sicherheitsprodukte aus. Es ist der erste Aufklärungsschritt und führt keine privilegierte Aktion aus.

# From a Visual Studio Developer Command Prompt
cl.exe /EHsc /W4 src/0xPoC.c
0xPoC.exe

Repository-Struktur

0xKern3lCrush/
|-- README.md
|-- LICENSE
|-- SECURITY.md
|-- src/
|   |-- 0xPoC.c          read-only process enumeration
|   +-- 0xtargets.h      target name list
|-- drivers/
|   +-- 0xhashes.md      artifact hashes and public mirrors
|-- research/
|   |-- 0xbyovd-patterns.md
|   |-- 0xsafetica-cve-2026-0828.md
|   +-- 0xthrottlestop-medusalocker.md
+-- docs/
    +-- 0xmitigations.md

Einschränkungen

• Es ist konstruktionsbedingt kein funktionierender Exploit enthalten.
• Die Beschreibungen basieren auf öffentlichen Offenlegungen und statischer Analyse.
• Der Blocklist-Status ist momentaufnahmespezifisch und ändert sich im Laufe der Zeit.
• Die Versionsabdeckung spiegelt wider, was zum Zeitpunkt des Schreibens öffentlich war.

Referenzen

• Safetica ProcessMonitorDriver, CERT VU#818729 (2026-01-20).
• Kaspersky Securelist, AV-Killer, der ThrottleStop.sys ausnutzt (2025-08).
• Microsoft-Blocklist für verwundbare Treiber.

Verantwortungsvolle Nutzung

Dieses Projekt existiert für Forschung und Verteidigung. Laden Sie diese Treiber nur auf Systemen, die Ihnen gehören oder die Sie testen dürfen, und nur in einer isolierten Umgebung mit einem Snapshot zum Zurückrollen. Das Laden eines verwundbaren signierten Treibers oder das Senden eines präparierten IOCTL ohne Autorisierung ist in den meisten Rechtsordnungen illegal.