RegPwn BOF para Brute Ratel C4

Mi reimplementación en BOF de Brute Ratel C4 del port del exploit RegPwn de Filip Dragovic (@Wh04m1001) / MDSec ActiveBreach.

Esta es una reimplementación más descuidada en BOF de BRc4 de la reimplementación en BOF de CS de Flangvik del exploit original en C#. Todo el crédito por la investigación de la vulnerabilidad y el exploit sigue siendo para Filip Dragovic y MDSec.

• Reimplementación en BOF de CS de Flangvik: https://github.com/Flangvik/RegPwnBOF
• Entrada de blog: https://www.mdsec.co.uk/2026/03/rip-regpwn/
• Repositorio original: https://github.com/mdsecactivebreach/RegPwn
• CVE: CVE-2026-24291

Qué hace

Explota una condición de carrera de symlink del registro en el mecanismo ATConfig de Accesibilidad de Windows para escribir valores arbitrarios en claves protegidas del registro HKLM desde un contexto de usuario normal (Escalada de Privilegios Local).

Tiene como objetivo Windows 11 25H2/24H2, Windows 10 21H2 y Windows Server 2016/2019/2022 anteriores al parche de marzo de 2026.

ADVERTENCIA: Este exploit bloquea la estación de trabajo como parte de la condición de carrera.

Objetivo predeterminado

El ImagePath del servicio msiserver (Instalador de Windows). Este servicio se ejecuta como SYSTEM y puede ser iniciado por usuarios normales.

Uso

Brute Ratel C4

badger> coffexec c:\maldev\projects\RegPwnBRc4BOF\regpwn.x64.o C:\JustAnotherPath\badger.exe SYSTEM\ControlSet001\Services\msiserver ImagePath

Compilación

Requiere x86_64-w64-mingw32-gcc (compilador cruzado MinGW-w64).

make        # compilar BOF (regpwn.x64.o)
make test   # compilar EXE independiente (regpwn.x64.exe)
make clean

Solo x64.