CVE-2026-36425 : OPSWAT AppRemover Arbitrary Process Termination

Un controlador kernel de OPSWAT firmado que mata cualquier proceso bajo demanda. Sin necesidad de derechos de administrador, sin comprobaciones de privilegios, sin hacer preguntas. Apúntalo a un EDR, a un antivirus, a un proceso protegido por PPL y muere. Tres métodos de terminación diferentes, todos ejecutándose en modo kernel, todos activados por una única IOCTL de cualquier usuario local. Se identificaron 16 variantes de controladores vulnerables, todas válidamente firmadas.

⚠️ Este repositorio es solo para fines educativos y de investigación. El autor no es responsable del mal uso de la información o las herramientas proporcionadas.

📝 Entrada del blog: Introducing CVE-2026-36425 | OPSWAT EDR Terminator

En la entrada del blog recorremos todo el proceso de ingeniería inversa del controlador en IDA Pro, desde la configuración de DriverEntry hasta la cadena de despacho de IOCTL, y desglosamos los tres métodos diferentes de terminación de procesos que el controlador usa internamente. También demostramos una prueba en vivo contra uno de los EDR más conocidos, cargando el controlador firmado y terminando el agente desde modo kernel.

Overview

Descripción

El controlador kernel de AppRemover de OPSWAT (ardrv.sys) expone un objeto de dispositivo (\\.\ardrv) accesible para cualquier usuario local sin validación de privilegios. El manejador de IOCTL 0x2420031 del controlador realiza la terminación de procesos sobre un PID proporcionado por el llamador usando tres métodos distintos:

1. Corrupción de memoria : se adjunta al proceso objetivo mediante KeAttachProcess y sobrescribe las primeras 4096 páginas con 0xCC (puntos de interrupción INT3), forzando un fallo del sistema.
2. Terminación directa : abre el proceso mediante ObOpenObjectByPointer y llama a ZwTerminateProcess para valores de PID altos.
3. Terminación mediante objeto de trabajo : crea un objeto de trabajo (Job Object), asigna el proceso objetivo a él y termina todo el trabajo mediante ZwTerminateJobObject como alternativa.

Los tres métodos se ejecutan en contexto de kernel sin validación del llamador, sin comprobaciones de privilegios y sin protección para procesos críticos o PPL. Esto puede ser explotado para terminar agentes de EDR/AV y otro software de seguridad.

Uso

ardrvkiller.exe <PID>

Cargar el controlador

sc.exe create ardrv binPath="C:\path\to\ardrv_XX.sys" type=kernel
sc.exe start ardrv

Terminar un proceso

ardrvkiller.exe 1234

Variantes de controladores vulnerables

Se identificaron 16 variantes, todas firmadas por OPSWAT, todas compartiendo la misma vulnerabilidad.

Cronología

Referencias

• CVE Record
• NVD
• Blog Post

autor

j3h4ck @j3h4ck | linkedin | medium