CVE-2026-36425 : OPSWAT AppRemover Willkürliche Prozessbeendigung

Ein signierter OPSWAT-Kernel-Treiber, der jeden Prozess auf Abruf beendet. Keine Admin-Rechte erforderlich, keine Privilegienprüfungen, keine Fragen gestellt. Richten Sie ihn auf ein EDR, ein Antivirenprogramm, einen PPL-geschützten Prozess und er stirbt. Drei verschiedene Tötungsmethoden, alle aus dem Kernel-Modus ausgeführt, alle ausgelöst durch ein einziges IOCTL von jedem lokalen Benutzer. 16 anfällige Treibervarianten identifiziert, alle gültig signiert.

⚠️ Dieses Repository dient ausschließlich Bildungs- und Forschungszwecken. Der Autor übernimmt keine Verantwortung für Missbrauch der bereitgestellten Informationen oder Werkzeuge.

📝 Blogbeitrag: Einführung in CVE-2026-36425 | OPSWAT EDR Terminator

Im Blogbeitrag durchlaufen wir den vollständigen Reverse-Engineering-Prozess des Treibers in IDA Pro, von der DriverEntry-Einrichtung bis zur IOCTL-Dispatch-Kette, und analysieren die drei verschiedenen Prozessbeendigungsmethoden, die der Treiber intern verwendet. Wir demonstrieren auch einen Live-Test gegen eines der bekannten EDRs, indem wir den signierten Treiber laden und den Agenten aus dem Kernel-Modus beenden.

Übersicht

Beschreibung

Der OPSWAT AppRemover-Kernel-Treiber (ardrv.sys) legt ein Geräteobjekt (\\.\ardrv) frei, das für jeden lokalen Benutzer ohne Berechtigungsprüfung zugänglich ist. Der IOCTL-Handler 0x2420031 des Treibers führt die Prozessbeendigung für eine vom Aufrufer bereitgestellte PID mit drei verschiedenen Methoden durch:

1. Speicherkorruption : Hängt sich über KeAttachProcess an den Zielprozess an und überschreibt die ersten 4096 Seiten mit 0xCC (INT3-Breakpoints), was einen Absturz erzwingt.
2. Direkte Beendigung : Öffnet den Prozess über ObOpenObjectByPointer und ruft ZwTerminateProcess für hohe PID-Werte auf.
3. Job-Objekt-Beendigung : Erstellt ein Job-Objekt, weist den Zielprozess zu und beendet den gesamten Job über ZwTerminateJobObject als Fallback.

Alle drei Methoden werden im Kernel-Kontext ohne Aufrufervalidierung, ohne Privilegienprüfungen und ohne Schutz für kritische oder PPL-Prozesse ausgeführt. Dies kann missbraucht werden, um EDR/AV-Agenten und andere Sicherheitssoftware zu beenden.

Verwendung

ardrvkiller.exe <PID>

Treiber laden

sc.exe create ardrv binPath="C:\path\to\ardrv_XX.sys" type=kernel
sc.exe start ardrv

Prozess beenden

ardrvkiller.exe 1234

Anfällige Treibervarianten

16 Varianten identifiziert, alle von OPSWAT signiert, alle mit derselben Schwachstelle.

Zeitleiste

Referenzen

• CVE-Eintrag
• NVD
• Blogbeitrag

Autor

j3h4ck @j3h4ck | linkedin | medium