0xKern3lCrush

Recherche Windows BYOVD sur deux cas réels : le Safetica ProcessMonitorDriver (CVE-2026-0828) et le pilote ThrottleStop abusé par MedusaLocker (CVE-2025-7771). Le dépôt documente les interfaces exposées, le résultat privilégié atteint par chacune d'elles, et comment détecter l'abus. Il ne fournit que de la reconnaissance en mode utilisateur sûre : aucun code en mode noyau, aucune invocation d'IOCTL, et aucune routine de terminaison de processus.

Qu'est-ce que 0xKern3lCrush ?

La protection des endpoints protège de plus en plus ses propres processus avec des niveaux de protection et des jetons restreints, de sorte que les attaquants déplacent le combat dans le noyau avec Bring Your Own Vulnerable Driver. Ils déposent un pilote signé légitime mais vulnérable, appellent un gestionnaire IOCTL faible, et atteignent une primitive noyau telle que la terminaison arbitraire de processus ou la lecture et l'écriture arbitraires en mémoire.

Ce dépôt étudie ce schéma sur deux cas publics et transforme chacun d'eux en matériel de détection et de durcissement.

Le dépôt est une étude, pas une arme. Il ne contient aucun exploit fonctionnel et aucun code en mode noyau.

Pourquoi c'est important

Les cas Safetica et ThrottleStop ne sont pas théoriques. ThrottleStop.sys a été weaponisé par les opérateurs de MedusaLocker dans de véritables intrusions, et le schéma se généralise à des dizaines de pilotes signés abusés entre 2024 et 2026. Un pilote qui atteint la terminaison de processus en noyau ou l'écriture en mémoire noyau est un chemin direct pour faire taire la protection des endpoints avant qu'une charge utile ne soit déployée.

Contribution de recherche

La contribution ici est une description claire et reproductible de chaque cas et du matériel défensif qui en découle :

• la surface d'appareil et d'IOCTL exposée pour chaque pilote
• la cause racine dans chaque gestionnaire
• le résultat privilégié et son utilisation dans le monde réel
• les hachages d'artefacts de pilote et les miroirs de recherche publics
• les conseils de détection et d'atténuation

Safetica ProcessMonitorDriver - CVE-2026-0828

• Éditeur : Safetica Endpoint Client x64.
• Pilote : ProcessMonitorDriver.sys.
• Versions affectées : 10.5.75.0, 11.11.4.0.
• Publié : janvier 2026 (recherche KOSEC initialement novembre 2025).
• Cause racine : le gestionnaire IOCTL ne valide pas le privilège de l'appelant et n'assainit pas l'entrée sur le chemin de terminaison.
• Résultat : un appelant non privilégié peut terminer des processus arbitraires, y compris des processus protégés et critiques pour le système, depuis le contexte noyau.
• Utilisation dans le monde réel : une primitive BYOVD classique. L'attaquant dépose le pilote, termine la protection des endpoints, et poursuit avec la charge utile.
• Statut : aucun correctif du fournisseur publiquement confirmé en février 2026. CERT VU#818729 a été publié le 20 janvier 2026.

Les hachages et miroirs connus sont dans drivers/0xhashes.md. Les notes complètes sont dans research/0xsafetica-cve-2026-0828.md.

ThrottleStop - CVE-2025-7771

Les opérateurs de MedusaLocker ont weaponisé ThrottleStop.sys, le pilote de l'outil de throttling CPU de TechPowerUp, dans de véritables intrusions, y compris un incident brésilien analysé par Kaspersky en août 2025. C'est un flux plus avancé qu'un kill IOCTL direct.

• Pilote : ThrottleStop.sys, renommé en ThrottleBlood.sys par les attaquants, signé par TechPowerUp avec un certificat EV DigiCert de 2020.
• Cause racine : le pilote expose des IOCTL qui atteignent MmMapIoSpace sans contrôle d'accès, de sorte qu'un appelant en mode utilisateur peut lire et écrire la mémoire physique.
• Flux, analyse uniquement :
  1. Charger le pilote renommé en tant que service et ouvrir \\.\ThrottleStop.
  2. Envoyer les IOCTL vulnérables (lecture physique 0x80006498, écriture 0x8000649C).
  3. Contourner KASLR en interrogeant la base du noyau via NtQuerySystemInformation(SystemModuleInformation).
  4. Traduire le virtuel en physique, souvent via une fuite d'informations SuperFetch.
  5. Écraser une fonction rarement utilisée avec un hook.
  6. Le hook atteint le chemin de recherche et de terminaison de processus et tue une liste codée en dur de processus de sécurité.
  7. Restaurer les octets originaux et déployer le ransomware.
• Résultat : terminaison au niveau noyau de processus de sécurité protégés, ce qui permet au chiffrement de se poursuivre.
• Statut : le fournisseur préparait un correctif tout au long de 2025 ; le pilote ne figurait pas sur la blocklist Microsoft au départ.

Les notes complètes sont dans research/0xthrottlestop-medusalocker.md. Source principale : Kaspersky Securelist, août 2025.

Détection

• Chargement de pilote : surveiller un service noyau aléatoire ou renommé créé à partir d'un fichier .sys suivi immédiatement d'un démarrage. Event ID 7045 et, avec l'audit des services activé, 4697.
• Accès à l'appareil : handles ouverts sur les noms d'appareil que chaque pilote expose, depuis un processus inattendu.
• IOCTL : les codes IOCTL de terminaison et de mémoire physique, corrélés avec la terminaison de processus de sécurité protégés.
• Blocklist : maintenir à jour la blocklist des pilotes vulnérables de Microsoft et votre politique WDAC ; le chargement échoue là où elles sont appliquées.

Les notes d'atténuation sont dans docs/0xmitigations.md.

Reconnaissance sûre

src/0xPoC.c est en lecture seule. Il énumère les processus en cours d'exécution via les API Toolhelp32 et affiche les noms des produits de sécurité courants. C'est la première étape de reconnaissance et il n'effectue aucune action privilégiée.

# From a Visual Studio Developer Command Prompt
cl.exe /EHsc /W4 src/0xPoC.c
0xPoC.exe

Structure du dépôt

0xKern3lCrush/
|-- README.md
|-- LICENSE
|-- SECURITY.md
|-- src/
|   |-- 0xPoC.c          read-only process enumeration
|   +-- 0xtargets.h      target name list
|-- drivers/
|   +-- 0xhashes.md      artifact hashes and public mirrors
|-- research/
|   |-- 0xbyovd-patterns.md
|   |-- 0xsafetica-cve-2026-0828.md
|   +-- 0xthrottlestop-medusalocker.md
+-- docs/
    +-- 0xmitigations.md

Limitations

• Aucun exploit fonctionnel n'est inclus, par conception.
• Les descriptions sont basées sur des divulgations publiques et de l'analyse statique.
• Le statut de la blocklist est spécifique à un instantané et change avec le temps.
• La couverture des versions reflète ce qui était public au moment de la rédaction.

Références

• Safetica ProcessMonitorDriver, CERT VU#818729 (2026-01-20).
• Kaspersky Securelist, tueur d'AV exploitant ThrottleStop.sys (2025-08).
• Blocklist des pilotes vulnérables de Microsoft.

Utilisation responsable

Ce projet existe pour la recherche et la défense. Ne chargez ces pilotes que sur des systèmes que vous possédez ou que vous êtes autorisé à tester, et uniquement dans un environnement isolé avec un instantané vers lequel revenir. Charger un pilote signé vulnérable ou envoyer un IOCTL forgé sans autorisation est illégal dans la plupart des juridictions.