SamTimer

Root Android en un seul geste pour les appareils Samsung Galaxy, construit autour de l'exploit de minuterie CVE-2026-98260 (UAF posix-cpu-timers) et d'un module à chargement tardif KernelSU-Next compatible avec Samsung KDP/RKP/DEFEX.

Basé sur le dépôt CVE-2026-98260-aurora — son portage LPE de minuterie (chaînes de chargement tardif ksud real-cred zero-write / fake-cred) est ce dont app/src/main/cpp/timer.c est issu.

[!WARNING] Destiné aux appareils que vous possédez ou que vous êtes explicitement autorisé à tester. L'exploit est un UAF noyau probabiliste — une exécution échouée peut laisser le système instable jusqu'au prochain redémarrage. Un redémarrage restaure toujours le téléphone dans un état propre et non rooté.

Aperçu

Exploit	CVE-2026-98260 (charge utile timer.c, compilée par Gradle)
Module root	KernelSU-Next 3.4.2 (ksud-next-generic-kdp, android14-6.1 no-patch-text)
Contexte d'exécution	Shell Shizuku (uid 2000)
Autorisation su	Gestionnaire KernelSU-Next (com.rifsxd.ksunext), domaine u:r:ksu:s0
Durée de vie du root	Par démarrage (éphémère — effacé au redémarrage)

Testé sur SM-S921N (e1s, Exynos 2400), noyau 6.1.162-android14-11, OneUI 9.

Fonctionnalités

• Interface Material 3 Compose (anglais / coréen, suit la locale du système)
• Badge de root en direct — détecte le module KernelSU chargé toutes les quelques secondes
• Boîte de dialogue de confirmation avant chaque exécution ; le bouton re-root reste disponible lorsque l'appareil est déjà rooté
• Auto-root après redémarrage — récepteur de démarrage → chaîne WorkManager qui attend Shizuku, puis exécute la chaîne sans interface avec des notifications de progression ; une exécution échouée désactive l'option elle-même (protection contre les boucles de démarrage)
• La charge utile de l'exploit est compilée automatiquement par Gradle — assembleDebug livre toujours un binaire frais

Prérequis

1. Shizuku en cours d'exécution (débogage sans fil). Pour l'auto-root : activez le démarrage automatique de Shizuku au boot et accordez sa permission à SamTimer une fois.
2. Gestionnaire KernelSU-Next (com.rifsxd.ksunext) installé — su n'est accordé qu'aux applications autorisées par le gestionnaire.

Compilation

./gradlew assembleDebug
# APK: app/build/outputs/apk/debug/app-debug.apk

• app/src/main/cpp/timer.c est compilé en app/src/main/jniLibs/arm64-v8a/libtimer.so par la tâche buildPayload (le NDK est détecté automatiquement : ANDROID_NDK_HOME → local.properties → SDK → ~/android-ndk-r27c)
• libksud.so est un démon late-load KernelSU-Next précompilé
• ./gradlew clean supprime toutes les sorties y compris la charge utile générée (le libksud.so précompilé est conservé)

Utilisation

1. Démarrez Shizuku, ouvrez SamTimer
2. Appuyez sur Root now → confirmez → attendez 1 à 7 minutes
3. Accordez su à vos applications dans le gestionnaire KernelSU-Next
4. Activez éventuellement Auto-root after reboot

Chaîne

1. timer.c divulgue les creds de l'enfant via la trace kmem, efface l'emplacement creds_hash de DEFEX, installe un cred falsifié d'uid 0 (l'écriture dans selinux_state atterrit à -7 afin que initialized survive — un zéro de 8 octets à l'offset 0 tue l'indicateur de politique chargée et casse toute écriture de propriété)
2. Le worker root adopte u:r:init:s0, lie ksud sur /system/bin/logcat à l'intérieur d'un namespace de montage privé (exec compatible KDP) et exécute late-load --package-name com.rifsxd.ksunext
3. KernelSU-Next se charge (build sans patch-text — le patchage du texte à chaud provoque un panic sur Exynos 2400), SELinux est restauré en mode enforcing par ksud
4. Le succès est vérifié via l'ioctl backdoor reboot() du pilote KSU
5. Les zombies d'un plantage raté sont maintenus non récoltés par un processus détenteur stationné jusqu'au redémarrage (les récolter corrompt la mémoire du noyau en cours d'exécution — gardez-le en vie)

Crédits / amont

• CVE-2026-98260-aurora — cette application est construite sur le portage LPE du timer du dépôt aurora : la charge utile timer.c (écriture de zéro sur les vrais creds et chaînes de fake-cred / late-load ksud) y a commencé et vit dans ce projet sous app/src/main/cpp/timer.c
• BuSung-dev/Root-My-Galaxy — le flux late-load KSU Samsung vérifié que cette application reproduit (forme de su_daemon.c, staging .ksud-stage, appairage du gestionnaire)
• BuSung-dev/Root-My-Galaxy-Payloads — paires ksud/kernelsu.ko par cible et méthodologie de portage Samsung KDP/RKP/DEFEX (vermagic de version exacte, sans patch-text pour Exynos)
• rushiranpise/Root-My-Galaxy-Payloads — patches delta Samsung pour KernelSU 3.2.5–3.4.2, KernelSU-Next et ReSukiSU ; ksud-next-generic-kdp (KernelSU-Next 3.4.2) utilisé ici
• tiann/KernelSU · KernelSU-Next/KernelSU-Next — la lignée du module root
• DirtyFrag (CVE-2026-43284, lignée DFRoot) — le modèle autorun / verrouillage d'exécution en cas d'échec
• Shizuku — exécution avec l'uid shell sans PC

Avertissement

À utiliser à vos propres risques. Les auteurs déclinent toute responsabilité en cas de perte de données, d'appareil brické ou de tout autre incident survenant au matériel sur lequel vous pointez ceci.