Copy Fail -- CVE-2026-31431

Gehärtete C-Implementierung für Redteam-Operationen und autorisierte Penetrationstests.

⚠️ Rechtlicher Hinweis: Dieses Tool ist ausschließlich für autorisierte Sicherheitsforschung, autorisierte Penetrationstests und defensive Analysen bestimmt. Verwenden Sie es nur auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche schriftliche Genehmigung zum Testen haben. Unautorisierter Zugriff auf Computersysteme ist illegal.

🚀 Die primäre Entwicklung wurde zu GitLab verlegt.
Dieses Repository wird hier aktiv weiterentwickelt. Für Issues und Beiträge nutzen Sie bitte GitLab.

Überblick

Dieses Projekt ist eine gehärtete, produktionsreife C-Portierung des CVE-2026-31431 ("Copy Fail") Local Privilege Escalation Exploits, der ursprünglich von Theori und Xint am 29. April 2026 veröffentlicht wurde.

Der ursprüngliche Proof-of-Concept war in Python geschrieben und für Forschungsdemonstrationen ausgelegt. Diese Implementierung wandelt ihn in ein Redteam-taugliches Toolkit um, mit:

Keine Festplattenartefakte (memfd-basierte dateilose Ausführung)
Automatische Zielerkennung (setuid-Binär-Enumeration mit MAC-Bewusstsein)
Anti-Forensik (Cache-Verwerfung, Zeitstempel-Wiederherstellung, Selbstzerstörung)
Operator-Steuerung (signalgesteuerte Ausführung mit konfigurierbaren Timeouts)
Plattformübergreifende statische Builds (x86_64, ARM64, RISC-V via musl/zig)

Originalforschung

CVE-2026-31431: Copy Fail

Attribut	Wert
Bekanntgabedatum	29. April 2026
Forscher	Theori (Jinoh Kang, Yonghwi Jin, Seunghyun Lee), Xint
Writeup	https://copy.fail/
Original PoC	theori-io/copy-fail-CVE-2026-31431 (Python)
C Port (Basis)	tgies/copy-fail-c von Tony Gies
Betroffene Kernel	Linux 4.14 – 6.14 (vor Fix-Commit `a664bf3d603d`)
Schweregrad	CVSS 7.8 (Hoch) – Lokale Privilegieneskalation

Schwachstellenmechanismus

Die Schwachstelle befindet sich im AF_ALG-Krypto-Subsystem des Linux-Kernels. Die AEAD-Vorlage authencesn implementiert eine In-Place-Optimierung für die Entschlüsselung: Wenn der Chiffretext über splice() aus dem Page-Cache einer Datei geliefert wird, verwendet der Kernel dieselbe Seite sowohl als Quelle als auch als Ziel.

Der Angriffsablauf:

Eine setuid-Binärdatei (z. B. /usr/bin/su) schreibgeschützt öffnen
Über AF_ALG eine authencesn(hmac(sha256),cbc(aes))-AEAD-Operation einrichten
Chiffretext über splice() aus dem Page-Cache der Zieldatei bereitstellen
Die (fehlschlagende) Entschlüsselungsoperation überschreibt 4 Bytes der Page-Cache-Seite, bevor die Authentifizierung sie ablehnt
Für jedes 4-Byte-Fenster der Nutzlast wiederholen
execve() auf das Ziel ausführen – der Kernel lädt mutierte Seiten aus dem Cache und gewährt setuid-root-Berechtigungen
Die Payload führt zu einer vollständigen Root-Shell

Kernpunkt: Der Inode auf der Festplatte wird niemals verändert. Nur der In-Memory-Page-Cache wird mutiert, was die forensische Erkennung deutlich erschwert als bei herkömmlichen Dateiüberschreib-Exploits.

Unsere Verbesserungen

Dieses Projekt erweitert die ursprüngliche Forschung um Redteam-orientierte Härtungen in neun Modulen.

1. Gehärtetes Exploit-Primitiv (`patch_chunk.c`)

Merkmal	Original	Unsere Implementierung
Socket-Verwaltung	Neuer Socket pro Chunk	Socket-Wiederverwendung (~60% weniger Syscalls)
Verifikation	Keine	mmap + memcmp mit automatischem Wiederholungsversuch (3 Versuche)
Parallele Schreibvorgänge	Nur sequentiell	Fork-basiert parallel (bis zu 16 Prozesse)
Fehlercodes	Binär Erfolg/Fehlschlag	Granular: 0=verifiziert, 1=gepatchter Kernel, -1=schwerwiegend
Heap-Allokationen	`malloc` im heißen Pfad	Nur Stack (kein Allokations-Jitter)

2. Automatische Zielerkennung (`target_discovery.c`)

Dreiphasen-Scanning: Prioritätsziele → Standardverzeichnisse → Tiefenscan
MAC-bewusste Bewertung: Bestraft Binärdateien mit AppArmor/SELinux-Profilen
18 Prioritätsziele: su, sudo, passwd, pkexec, mount, ping, etc.
Fallback-Kette: Falls primäres Ziel fehlschlägt, automatische Auswahl des nächstbesten Kandidaten
Snap-Bewusstsein: Überspringt /snap (nicht-traditionelle setuid)

3. Anti-Forensik-Suite (`anti_forensics.c`)

Technik	Zweck
`posix_fadvise(POSIX_FADV_DONTNEED)`	Pro-Datei Page-Cache-Räumung
`echo 3 > /proc/sys/vm/drop_caches`	Globaler Cache-Drop (nach Root)
`utimensat()` Timestomp	Ursprüngliche atime/mtime wiederherstellen
Selbstzerstörung	Dropper-Binärdatei vor exec mit Nullen überschreiben
Speicherbereinigung	`volatile`-Nullung sensitiver Puffer

4. Dateilose Ausführung (`memfd_exec.c`)

memfd_create + fexecve: Ausführung ohne Dateisystempfad
Tarnung: memfd benannt als kworker, anon_inode, eventfd (fügt sich in /proc/$pid/fd/ ein)
Fork-und-Vergiss: Doppel-Fork zur Erzeugung eines Waisenprozesses (PPID=1)
Entschlüsselung im Speicher: XOR und RC4 entschlüsseln-dann-ausführen (Payload niemals im Klartext auf der Festplatte)

5. Stage-1 Payload-Auslieferung (`stage1.c`)

Kanal	Tarnung	Geschwindigkeit	Fallback-Priorität
Eingebettet	Maximal	Sofort	Letzter (Airgap)
HTTP direkt	Mittel	<1s	Erster
System curl/wget	Niedrig	1-3s	Zweiter (HTTPS-Support)
DNS TXT	Hoch	Langsam	Dritter (Firewall-Bypass)

6. Stage-2 C2-Implantat (`stage2_template.c`)

Widerstandsfähige Wiederverbindungsschleife mit exponentiellem Backoff
Drei Verteilungen: gleichmäßig, dreieckig, exponentieller Jitter
Signalsteuerung: SIGUSR1 (auslösen), SIGUSR2 (Status), SIGTERM (Herunterfahren)
DNS-Beaconing: Heimliche C2-Health-Check vor TCP-Verbindung
Prozess-Maskerade: [kworker/N:0] in ps/top

7. Prozessversteck (`proc_hide.c`)

argv[0]-Überschreiben: In-Place-Ersetzung von /proc/$pid/cmdline
prctl(PR_SET_NAME): Kernel-Thread-ähnliche Namen (16-Byte-Limit)
Umgebungssanitisierung: Selektives Löschen von SSH_*, AWS_*, TOKEN*, etc.
Elternablösung: setsid() + setpgid() für Terminalunabhängigkeit

8. Signal-Trigger-Steuerung (`signal_trigger.c`)

Modus	Verhalten	Einsatzfall
`trigger_oneshot()`	Schlafen → auslösen → ausführen → beenden	Hit-and-Run
`trigger_daemon()`	Schlafen → auslösen → ausführen → Schleife	Persistierendes Implantat
`trigger_auto()`	Schlafen mit Timeout-Fallback	Unbeaufsichtigte Operationen

Null-CPU-Warten: sigsuspend() anstelle von Polling-Schleifen.

9. Schlaf-Jitter (`sleep_jitter.c`)

Drei RNG-Backends: getrandom(2), /dev/urandom, rdtsc-Fallback
Ablehnungsabtastung: Beseitigt Modulo-Bias bei gleichmäßiger Verteilung
Drift-Kompensation: sleep_scheduled() hält das durchschnittliche Intervall trotz Jitter ein
Sandbox-Erkennung: check_sandbox_acceleration() erkennt gepatchtes sleep()

Beliebteste

Über

COPY-FAIL

Copy Fail -- CVE-2026-31431

Inhaltsverzeichnis

Überblick

Originalforschung

CVE-2026-31431: Copy Fail

Schwachstellenmechanismus

Unsere Verbesserungen

1. Gehärtetes Exploit-Primitiv (`patch_chunk.c`)

2. Automatische Zielerkennung (`target_discovery.c`)

3. Anti-Forensik-Suite (`anti_forensics.c`)

4. Dateilose Ausführung (`memfd_exec.c`)

5. Stage-1 Payload-Auslieferung (`stage1.c`)

6. Stage-2 C2-Implantat (`stage2_template.c`)

7. Prozessversteck (`proc_hide.c`)

8. Signal-Trigger-Steuerung (`signal_trigger.c`)

9. Schlaf-Jitter (`sleep_jitter.c`)

Architektur

Beliebteste

Über

COPY-FAIL

Copy Fail -- CVE-2026-31431

Inhaltsverzeichnis

Überblick

Originalforschung

CVE-2026-31431: Copy Fail

Schwachstellenmechanismus

Unsere Verbesserungen

1. Gehärtetes Exploit-Primitiv (patch_chunk.c)

2. Automatische Zielerkennung (target_discovery.c)

3. Anti-Forensik-Suite (anti_forensics.c)

4. Dateilose Ausführung (memfd_exec.c)

5. Stage-1 Payload-Auslieferung (stage1.c)

6. Stage-2 C2-Implantat (stage2_template.c)

7. Prozessversteck (proc_hide.c)

8. Signal-Trigger-Steuerung (signal_trigger.c)

9. Schlaf-Jitter (sleep_jitter.c)

Architektur

1. Gehärtetes Exploit-Primitiv (`patch_chunk.c`)

2. Automatische Zielerkennung (`target_discovery.c`)

3. Anti-Forensik-Suite (`anti_forensics.c`)

4. Dateilose Ausführung (`memfd_exec.c`)

5. Stage-1 Payload-Auslieferung (`stage1.c`)

6. Stage-2 C2-Implantat (`stage2_template.c`)

7. Prozessversteck (`proc_hide.c`)

8. Signal-Trigger-Steuerung (`signal_trigger.c`)

9. Schlaf-Jitter (`sleep_jitter.c`)