CVE-2026-68820: Windows WinSock (afd.sys) UAF - Mitigation & Detection PoC

📌 Descripción General

Este repositorio contiene una demostración educativa de la mitigación para CVE-2026-68820, una vulnerabilidad crítica de tipo Use-After-Free (UAF) en el driver afd.sys de Windows.

Contexto de la vulnerabilidad:

• La vulnerabilidad permite a un atacante local con privilegios bajos escalar a SYSTEM [citation:13][citation:14].
• Está siendo explotada activamente por el grupo Lazarus de Corea del Norte en la campaña Operation Dream Job [citation:1][citation:5].
• Microsoft lanzó el parche oficial el 11 de agosto de 2026 [citation:1][citation:10].
• Está catalogada en el CISA KEV con fecha límite de remediación [citation:13].

🛡️ Mitigación (Parche Conceptual)

El código en src/afd_close_socket_patch.c demuestra cómo corregir el problema de raíz:

1. Sincronización: Usa KeAcquireSpinLock para acceso exclusivo al socket.
2. Nullificar antes de liberar: Captura el puntero y lo pone a NULL antes de liberar la memoria.
3. Contador de referencias: Usa InterlockedDecrement para liberar el objeto solo cuando no haya referencias activas [citation:4].

🔍 Detección (Sigma y YARA)

La carpeta detection/ contiene reglas para identificar actividad maliciosa relacionada:

Reglas Sigma (SIEM)

• afd_uaf_privilege_escalation.yml: Detecta patrones sospechosos de creación/destrucción rápida de sockets (heap grooming) y elevación de privilegios [citation:11][citation:15].
• suspicious_service_creation_post_afd.yml: Identifica creación de servicios sospechosos tras actividad de red anómala [citation:15].

Reglas YARA (Escaneo de Archivos)

• lazarus_fudmodule_rootkit.yar: Detecta el rootkit FudModule v3.1 utilizado en esta campaña [citation:1][citation:14].
• lazarus_relayshell_webshell.yar: Detecta el webshell RelayShell utilizado como C2 relay [citation:1][citation:14].
• troy_backdoor.yar: Detecta el backdoor Troy [citation:1][citation:5].

📊 Indicadores de Compromiso (IOCs)

El archivo iocs/cve-2026-68820_iocs.csv contiene hashes, dominios e IPs asociados a la campaña [citation:1][citation:13].

⚠️ Descargo de Responsabilidad

Este código es exclusivamente para fines educativos y de investigación en entornos controlados. El uso malintencionado de esta información es responsabilidad del usuario. No se debe utilizar para explotar sistemas sin autorización explícita.

📚 Referencias

• Check Point: Shattering the Dream Report
• NVD: CVE-2026-68820
• CISA KEV Catalog

📜 Licencia

Este proyecto está bajo la licencia MIT (ver LICENSE).