SamTimer

Ein-Tipp-Android-Root für Samsung-Galaxy-Geräte, aufgebaut um den CVE-2026-98260-Timer-Exploit (posix-cpu-timers UAF) und ein KernelSU-Next-Late-Load-Modul mit Samsung-KDP/RKP/DEFEX-Kompatibilität.

Basiert auf dem CVE-2026-98260-aurora-Repo — dessen Timer-LPE-Port (real-cred Zero-Write / fake-cred ksud Late-Load-Ketten) ist das, woraus app/src/main/cpp/timer.c hervorgegangen ist.

[!WARNING] Für Geräte, die dir gehören oder die du ausdrücklich zum Testen autorisiert bist. Der Exploit ist ein probabilistischer Kernel-UAF — ein fehlgeschlagener Lauf kann das System bis zum nächsten Neustart instabil zurücklassen. Ein Neustart versetzt das Telefon immer in einen sauberen, nicht gerooteten Zustand zurück.

Überblick

Exploit	CVE-2026-98260 (timer.c-Payload, von Gradle gebaut)
Root-Modul	KernelSU-Next 3.4.2 (ksud-next-generic-kdp, android14-6.1 no-patch-text)
Ausführungskontext	Shizuku-Shell (uid 2000)
su-Autorisierung	KernelSU-Next-Manager (com.rifsxd.ksunext), Domain u:r:ksu:s0
Root-Lebensdauer	Pro Boot (ephemer — beim Neustart gelöscht)

Getestet auf SM-S921N (e1s, Exynos 2400), Kernel 6.1.162-android14-11, OneUI 9.

Funktionen

• Material-3-Compose-UI (Englisch / Koreanisch, folgt der Systemsprache)
• Live-Root-Badge — erkennt das geladene KernelSU-Modul alle paar Sekunden
• Bestätigungsdialog vor jedem Lauf; Re-Root-Button bleibt verfügbar, wenn bereits gerootet
• Auto-Root nach Neustart — Boot-Receiver → WorkManager-Kette, die auf Shizuku wartet und dann die Kette headless mit Fortschrittsbenachrichtigungen ausführt; ein fehlgeschlagener Lauf deaktiviert die Option selbst (Boot-Loop-Schutz)
• Die Exploit-Payload wird automatisch von Gradle kompiliert — assembleDebug liefert immer eine frische Binärdatei

Voraussetzungen

1. Shizuku läuft (drahtloses Debugging). Für Auto-Root: Shizukus Boot-Autostart aktivieren und SamTimer einmalig die Berechtigung erteilen.
2. KernelSU-Next-Manager (com.rifsxd.ksunext) installiert — su wird nur an Apps erteilt, die der Manager autorisiert.

Build

./gradlew assembleDebug
# APK: app/build/outputs/apk/debug/app-debug.apk

• app/src/main/cpp/timer.c wird durch die buildPayload-Task in app/src/main/jniLibs/arm64-v8a/libtimer.so kompiliert (NDK wird automatisch erkannt: ANDROID_NDK_HOME → local.properties → SDK → ~/android-ndk-r27c)
• libksud.so ist ein vorkompilierter KernelSU-Next-Late-Load-Daemon
• ./gradlew clean entfernt alle Ausgaben einschließlich des generierten Payloads (das vorkompilierte libksud.so bleibt erhalten)

Verwendung

1. Shizuku starten, SamTimer öffnen
2. Auf Root now tippen → bestätigen → 1–7 Minuten warten
3. su für deine Apps im KernelSU-Next-Manager gewähren
4. Optional Auto-root after reboot aktivieren

Kette

1. timer.c leakt die Child-Credentials über den kmem-Trace, leert den DEFEX- creds_hash-Slot, installiert gefälschte uid-0-Credentials (der selinux_state-Write landet bei -7, damit initialized überlebt — eine 8-Byte-Null bei Offset 0 tötet das Policy-Loaded-Flag und bricht jeden Property-Write)
2. Der Root-Worker übernimmt u:r:init:s0, bindet ksud über /system/bin/logcat innerhalb eines privaten Mount-Namespace (KDP-sicherer Exec) und führt late-load --package-name com.rifsxd.ksunext aus
3. KernelSU-Next lädt (No-Patch-Text-Build — Live-Text-Patching führt auf Exynos 2400 zu einem Panic), SELinux wird von ksud wieder auf enforcing gesetzt
4. Der Erfolg wird über den reboot()-Backdoor-ioctl des KSU-Treibers verifiziert
5. Zombies fehlgeschlagener Plants werden von einem geparkten Holder-Prozess bis zum Reboot unreaped gehalten (ihr Reaping korrumpiert den Live-Kernel-Speicher — halte ihn am Leben)

Credits / Upstream

• CVE-2026-98260-aurora — diese App basiert auf dem Timer- LPE-Port des aurora-Repos: der timer.c-Payload (Real-Cred-Zero-Write- und Fake-Cred-/ ksud-Late-Load-Ketten) entstand dort und lebt in diesem Projekt als app/src/main/cpp/timer.c
• BuSung-dev/Root-My-Galaxy — der verifizierte Samsung-KSU-Late-Load-Flow, den diese App nachbildet (su_daemon.c- Form, .ksud-stage-Staging, Manager-Pairing)
• BuSung-dev/Root-My-Galaxy-Payloads — zielgerichtete ksud/kernelsu.ko-Paare und die Samsung-KDP/RKP/DEFEX-Port- Methodik (exakte Release-Vermagic, No-Patch-Text für Exynos)
• rushiranpise/Root-My-Galaxy-Payloads — Samsung-Delta-Patches für KernelSU 3.2.5–3.4.2, KernelSU-Next und ReSukiSU; ksud-next-generic-kdp (KernelSU-Next 3.4.2) wird hier verwendet
• tiann/KernelSU · KernelSU-Next/KernelSU-Next — die Root-Modul-Linie
• DirtyFrag (CVE-2026-43284, DFRoot- Linie) — das Autorun-/Failed-Run-Interlock-Muster
• Shizuku — Shell-UID-Ausführung ohne PC

Haftungsausschluss

Nutzung auf eigene Gefahr. Die Autoren übernehmen keine Verantwortung für Datenverlust, gebrickte Geräte oder sonstiges, was mit der Hardware passiert, auf die du das hier richtest.