0xKern3lCrush

Investigación de BYOVD en Windows sobre dos casos reales: el Safetica ProcessMonitorDriver (CVE-2026-0828) y el driver ThrottleStop abusado por MedusaLocker (CVE-2025-7771). El repositorio documenta las interfaces expuestas, el resultado privilegiado al que llega cada una y cómo detectar el abuso. Solo incluye reconocimiento seguro en modo usuario: sin código en modo kernel, sin invocación de IOCTL y sin rutina de terminación de procesos.

¿Qué es 0xKern3lCrush?

La protección de endpoints cada vez protege más sus propios procesos con niveles de protección y tokens restringidos, por lo que los atacantes trasladan la lucha al kernel con Bring Your Own Vulnerable Driver. Sueltan un driver firmado legítimo pero vulnerable, llaman a un manejador IOCTL débil y alcanzan una primitiva de kernel como la terminación arbitraria de procesos o la lectura y escritura arbitraria de memoria.

Este repositorio estudia ese patrón en dos casos públicos y convierte cada uno en material de detección y endurecimiento.

El repositorio es un estudio, no un arma. No contiene ningún exploit funcional ni código en modo kernel.

Por qué esto importa

Los casos de Safetica y ThrottleStop no son teóricos. ThrottleStop.sys fue armamentizado por operadores de MedusaLocker en intrusiones reales, y el patrón se generaliza a docenas de drivers firmados abusados entre 2024 y 2026. Un driver que alcanza la terminación de procesos en kernel o la escritura en memoria del kernel es una vía directa para silenciar la protección de endpoints antes de que aterrice un payload.

Contribución de la investigación

La contribución aquí es un análisis claro y reproducible de cada caso y el material defensivo que se deriva de él:

• la superficie de dispositivo e IOCTL expuesta para cada driver
• la causa raíz en cada manejador
• el resultado privilegiado y su uso en el mundo real
• hashes de artefactos del driver y réplicas públicas de la investigación
• guía de detección y mitigación

Safetica ProcessMonitorDriver - CVE-2026-0828

• Editor: Safetica Endpoint Client x64.
• Driver: ProcessMonitorDriver.sys.
• Versiones afectadas: 10.5.75.0, 11.11.4.0.
• Publicado: enero de 2026 (investigación de KOSEC originalmente en noviembre de 2025).
• Causa raíz: el manejador IOCTL no valida el privilegio del llamador y no sanitiza la entrada en la ruta de terminación.
• Resultado: un llamador sin privilegios puede terminar procesos arbitrarios, incluidos los protegidos y críticos del sistema, desde contexto de kernel.
• Uso en el mundo real: una primitiva BYOVD clásica. El atacante suelta el driver, termina la protección de endpoints y continúa con el payload.
• Estado: sin parche del proveedor confirmado públicamente a febrero de 2026. CERT VU#818729 se publicó el 20 de enero de 2026.

Los hashes y réplicas conocidos están en drivers/0xhashes.md. Las notas completas están en research/0xsafetica-cve-2026-0828.md.

ThrottleStop - CVE-2025-7771

Los operadores de MedusaLocker armaron ThrottleStop.sys, el driver de la herramienta de limitación de CPU de TechPowerUp, en intrusiones reales, incluido un incidente brasileño analizado por Kaspersky en agosto de 2025. Es un flujo más avanzado que una muerte directa por IOCTL.

• Driver: ThrottleStop.sys, renombrado a ThrottleBlood.sys por los atacantes, firmado por TechPowerUp con un certificado EV de DigiCert de 2020.
• Causa raíz: el driver expone IOCTLs que alcanzan MmMapIoSpace sin comprobación de acceso, por lo que un llamador en modo usuario puede leer y escribir memoria física.
• Flujo, solo análisis:
  1. Cargar el driver renombrado como servicio y abrir \\.\ThrottleStop.
  2. Enviar los IOCTLs vulnerables (lectura física 0x80006498, escritura 0x8000649C).
  3. Eludir KASLR consultando la base del kernel a través de NtQuerySystemInformation(SystemModuleInformation).
  4. Traducir virtual a físico, a menudo mediante una fuga de información de SuperFetch.
  5. Sobrescribir una función poco usada con un hook.
  6. El hook alcanza la ruta de búsqueda y terminación de procesos y mata una lista codificada de procesos de seguridad.
  7. Restaurar los bytes originales y desplegar el ransomware.
• Resultado: terminación a nivel de kernel de procesos de seguridad protegidos, lo que permite que la cifrado continúe.
• Estado: el proveedor estaba preparando un parche durante 2025; el driver no estaba en la lista de bloqueo de Microsoft al principio.

Las notas completas están en research/0xthrottlestop-medusalocker.md. Fuente principal: Kaspersky Securelist, agosto de 2025.

Detección

• Carga de driver: vigilar un servicio de kernel aleatorio o renombrado creado desde un archivo .sys seguido inmediatamente de un inicio. Event ID 7045 y, con auditoría de servicios activada, 4697.
• Acceso al dispositivo: handles abiertos sobre los nombres de dispositivo que expone cada driver, desde un proceso inesperado.
• IOCTL: los códigos IOCTL de terminación y memoria física, correlacionados con la terminación de procesos de seguridad protegidos.
• Lista de bloqueo: mantener actualizada la lista de bloqueo de drivers vulnerables de Microsoft y tu política WDAC; la carga falla donde se aplican.

Las notas de mitigación están en docs/0xmitigations.md.

Reconocimiento seguro

src/0xPoC.c es de solo lectura. Enumera los procesos en ejecución a través de las API de Toolhelp32 e imprime los nombres de productos de seguridad comunes. Es el primer paso de reconocimiento y no realiza ninguna acción privilegiada.

# From a Visual Studio Developer Command Prompt
cl.exe /EHsc /W4 src/0xPoC.c
0xPoC.exe

Estructura del repositorio

0xKern3lCrush/
|-- README.md
|-- LICENSE
|-- SECURITY.md
|-- src/
|   |-- 0xPoC.c          read-only process enumeration
|   +-- 0xtargets.h      target name list
|-- drivers/
|   +-- 0xhashes.md      artifact hashes and public mirrors
|-- research/
|   |-- 0xbyovd-patterns.md
|   |-- 0xsafetica-cve-2026-0828.md
|   +-- 0xthrottlestop-medusalocker.md
+-- docs/
    +-- 0xmitigations.md

Limitaciones

• No se incluye ningún exploit funcional, por diseño.
• Los análisis se basan en divulgaciones públicas y análisis estático.
• El estado de la lista de bloqueo es específico de una instantánea y cambia con el tiempo.
• La cobertura de versiones refleja lo que era público en el momento de la redacción.

Referencias

• Safetica ProcessMonitorDriver, CERT VU#818729 (2026-01-20).
• Kaspersky Securelist, asesino de AV que explota ThrottleStop.sys (2025-08).
• Lista de bloqueo de drivers vulnerables de Microsoft.

Uso responsable

Este proyecto existe para la investigación y la defensa. Carga estos drivers solo en sistemas que poseas o estés autorizado a probar, y solo en un entorno aislado con una instantánea a la que revertir. Cargar un driver firmado vulnerable o enviar un IOCTL manipulado sin autorización es ilegal en la mayoría de las jurisdicciones.