CVE-2026-36425 : OPSWAT AppRemover Terminaison arbitraire de processus

Un pilote noyau signé d'OPSWAT qui tue n'importe quel processus à la demande. Aucun droit administrateur requis, aucune vérification de privilège, aucune question posée. Pointez-le sur un EDR, un antivirus, un processus protégé PPL et il meurt. Trois méthodes de mise à mort différentes, toutes exécutées en mode noyau, toutes déclenchées par un seul IOCTL depuis n'importe quel utilisateur local. 16 variantes de pilote vulnérables identifiées, toutes signées valablement.

⚠️ Ce dépôt est uniquement à des fins éducatives et de recherche. L'auteur n'est pas responsable de toute utilisation abusive des informations ou des outils fournis.

📝 Article de blog : Introducing CVE-2026-36425 | OPSWAT EDR Terminator

Dans l'article de blog, nous parcourons le processus complet de rétro-ingénierie du pilote dans IDA Pro, de la configuration de DriverEntry à la chaîne de distribution IOCTL, et nous décomposons les trois différentes méthodes de terminaison de processus que le pilote utilise en interne. Nous démontrons également un test en direct contre l'un des EDR célèbres, en chargeant le pilote signé et en terminant l'agent depuis le mode noyau.

Aperçu

Description

Le pilote noyau OPSWAT AppRemover (ardrv.sys) expose un objet de périphérique (\\.\ardrv) accessible à tout utilisateur local sans validation de privilège. Le gestionnaire IOCTL 0x2420031 du pilote effectue la terminaison de processus sur un PID fourni par l'appelant en utilisant trois méthodes distinctes :

1. Corruption mémoire : s'attache au processus cible via KeAttachProcess et écrase les 4096 premières pages avec 0xCC (points d'arrêt INT3), forçant un crash.
2. Terminaison directe : ouvre le processus via ObOpenObjectByPointer et appelle ZwTerminateProcess pour les valeurs de PID élevées.
3. Terminaison par objet de travail : crée un objet de travail, assigne le processus cible à celui-ci, et termine l'ensemble du travail via ZwTerminateJobObject en tant que solution de repli.

Les trois méthodes s'exécutent en contexte noyau sans validation de l'appelant, sans vérification de privilège et sans protection pour les processus critiques ou PPL. Cela peut être abusé pour terminer des agents EDR/AV et d'autres logiciels de sécurité.

Utilisation

ardrvkiller.exe <PID>

Charger le pilote

sc.exe create ardrv binPath="C:\path\to\ardrv_XX.sys" type=kernel
sc.exe start ardrv

Tuer un processus

ardrvkiller.exe 1234

Variantes de pilotes vulnérables

16 variantes identifiées, toutes signées par OPSWAT, toutes partageant la même vulnérabilité.

Chronologie

Références

• Enregistrement CVE
• NVD
• Article de blog

auteur

j3h4ck @j3h4ck | linkedin | medium