Copy Fail -- CVE-2026-31431

Implémentation C durcie pour les opérations d'équipe rouge et de tests de pénétration autorisés.

⚠️ Avis légal : Cet outil est destiné uniquement à la recherche en sécurité autorisée, aux tests de pénétration autorisés et à l'analyse défensive. Utilisez-le uniquement sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation écrite explicite. L'accès non autorisé à des systèmes informatiques est illégal.

🚀 Le développement principal a été déplacé sur GitLab.
Ce dépôt est activement maintenu ici. Pour les problèmes et les contributions, veuillez utiliser GitLab.

Aperçu

Ce projet est un portage C durci et prêt pour la production de l'exploit d'élévation de privilèges local CVE-2026-31431 (« Copy Fail »), initialement divulgué par Theori et Xint le 29 avril 2026.

La preuve de concept originale était écrite en Python et conçue pour une démonstration de recherche. Cette implémentation la transforme en une boîte à outils de niveau équipe rouge avec :

Aucun artefact disque (exécution sans fichier basée sur memfd)
Découverte automatique de cibles (énumération des binaires setuid avec connaissance des MAC)
Anti-forensique (suppression du cache, restauration des horodatages, autodestruction)
Contrôle par l'opérateur (exécution déclenchée par signal avec délais configurables)
Constructions statiques multiplateformes (x86_64, ARM64, RISC-V via musl/zig)

Recherche originale

CVE-2026-31431 : Copy Fail

Attribut	Valeur
Date de divulgation	29 avril 2026
Chercheurs	Theori (Jinoh Kang, Yonghwi Jin, Seunghyun Lee), Xint
Article	https://copy.fail/
PoC originale	theori-io/copy-fail-CVE-2026-31431 (Python)
Portage C (base)	tgies/copy-fail-c par Tony Gies
Noyaux affectés	Linux 4.14 -- 6.14 (avant le commit correctif `a664bf3d603d`)
Sévérité	CVSS 7.8 (Élevée) -- Élévation de privilèges locale

Mécanisme de vulnérabilité

La vulnérabilité réside dans le sous-système crypto AF_ALG du noyau Linux. Le modèle AEAD authencesn implémente une optimisation en place pour le déchiffrement : lorsque le texte chiffré est fourni via splice() depuis le cache de pages d'un fichier, le noyau réutilise la même page à la fois comme source et comme destination.

Le flux d'attaque :

Ouvrir un binaire setuid (ex. /usr/bin/su) en lecture seule
Configurer une opération AEAD authencesn(hmac(sha256),cbc(aes)) via AF_ALG
Fournir le texte chiffré via splice() depuis le cache de pages du fichier cible
L'opération de déchiffrement (échouant) écrase 4 octets de la page du cache de pages avant que l'authentification ne la rejette
Répéter pour chaque fenêtre de 4 octets de la charge utile
execve() la cible -- le noyau charge les pages modifiées depuis le cache, accorde les droits setuid-root
La charge utile pivote vers un shell root complet

Point clé : L'inode sur le disque n'est jamais modifié. Seul le cache de pages en mémoire est modifié, ce qui rend la détection forensique nettement plus difficile que les exploits traditionnels par écrasement de fichier.

Nos améliorations

Ce projet étend la recherche originale avec un durcissement orienté équipe rouge à travers neuf modules.

1. Primitive d'exploit durcie (`patch_chunk.c`)

Fonctionnalité	Original	Notre implémentation
Gestion des sockets	Nouveau socket par bloc	Réutilisation du socket (~60 % d'appels système en moins)
Vérification	Aucune	mmap + memcmp avec réessai automatique (3 tentatives)
Écritures parallèles	Séquentielles uniquement	Parallélisme basé sur fork (jusqu'à 16 processus)
Codes d'erreur	Succès/échec binaires	Granulaires : 0 = vérifié, 1 = noyau patché, -1 = fatal
Allocations tas	`malloc` dans le chemin chaud	Uniquement sur la pile (pas de gigue d'allocation)

2. Découverte automatique de cibles (`target_discovery.c`)

Analyse en trois phases : cibles prioritaires → répertoires standard → analyse profonde
Score avec connaissance des MAC : pénalise les binaires avec des profils AppArmor/SELinux
18 cibles prioritaires : su, sudo, passwd, pkexec, mount, ping, etc.
Chaîne de repli : si la cible principale échoue, sélectionne automatiquement le meilleur candidat suivant
Awareness Snap : ignore /snap (setuid non traditionnel)

3. Suite anti-forensique (`anti_forensics.c`)

Technique	Objectif
`posix_fadvise(POSIX_FADV_DONTNEED)`	Éviction du cache de pages par fichier
`echo 3 > /proc/sys/vm/drop_caches`	Suppression globale du cache (post-root)
`utimensat()` timestomp	Restauration des atime/mtime originaux
Autodestruction	Écrasement du binaire dropper avec des zéros avant exec
Nettoyage mémoire	Mise à zéro `volatile` des tampons sensibles

4. Exécution sans fichier (`memfd_exec.c`)

memfd_create + fexecve : exécution sans chemin de fichier
Camouflage : memfd nommé kworker, anon_inode, eventfd (se fond dans /proc/$pid/fd/)
Fork et oubli : double fork pour créer un processus orphelin (PPID=1)
Déchiffrement en mémoire : déchiffrement XOR et RC4 puis exécution (la charge utile n'est jamais en clair sur le disque)

5. Livraison de la charge utile de niveau 1 (`stage1.c`)

Canal	Furtivité	Vitesse	Priorité de repli
Intégré	Maximale	Instantané	Dernier (airgap)
HTTP direct	Moyenne	<1s	Premier
curl/wget système	Faible	1-3s	Deuxième (support HTTPS)
DNS TXT	Élevée	Lent	Troisième (contournement de pare-feu)

6. Implant C2 de niveau 2 (`stage2_template.c`)

Boucle de reconnexion résiliente avec backoff exponentiel
Trois distributions : uniforme, triangulaire, gigue exponentielle
Contrôle par signal : SIGUSR1 (déclenchement), SIGUSR2 (statut), SIGTERM (arrêt)
Balise DNS : vérification discrète de l'état du C2 avant connexion TCP
Masquage de processus : [kworker/N:0] dans ps/top

7. Masquage de processus (`proc_hide.c`)

Écrasement d'argv[0] : remplacement en place de /proc/$pid/cmdline
prctl(PR_SET_NAME) : noms de style thread noyau (limite 16 octets)
Sanitisation de l'environnement : nettoyage sélectif de SSH_*, AWS_*, TOKEN*, etc.
Détachement du parent : setsid() + setpgid() pour l'indépendance du terminal

8. Contrôle par déclenchement de signal (`signal_trigger.c`)

Mode	Comportement	Cas d'utilisation
`trigger_oneshot()`	Attente → déclenchement → exécution → sortie	Frapper et courir
`trigger_daemon()`	Attente → déclenchement → exécution → boucle	Implant persistant
`trigger_auto()`	Attente avec repli sur timeout	Opérations sans surveillance

Attente zéro CPU : sigsuspend() au lieu de boucles de scrutation.

Populaires

À propos

COPY-FAIL

Copy Fail -- CVE-2026-31431

Table des matières

Aperçu

Recherche originale

CVE-2026-31431 : Copy Fail

Mécanisme de vulnérabilité

Nos améliorations

1. Primitive d'exploit durcie (`patch_chunk.c`)

2. Découverte automatique de cibles (`target_discovery.c`)

3. Suite anti-forensique (`anti_forensics.c`)

4. Exécution sans fichier (`memfd_exec.c`)

5. Livraison de la charge utile de niveau 1 (`stage1.c`)

6. Implant C2 de niveau 2 (`stage2_template.c`)

7. Masquage de processus (`proc_hide.c`)

8. Contrôle par déclenchement de signal (`signal_trigger.c`)

9. Gigue de sommeil (`sleep_jitter.c`)

Populaires

À propos

COPY-FAIL

Copy Fail -- CVE-2026-31431

Table des matières

Aperçu

Recherche originale

CVE-2026-31431 : Copy Fail

Mécanisme de vulnérabilité

Nos améliorations

1. Primitive d'exploit durcie (patch_chunk.c)

2. Découverte automatique de cibles (target_discovery.c)

3. Suite anti-forensique (anti_forensics.c)

4. Exécution sans fichier (memfd_exec.c)

5. Livraison de la charge utile de niveau 1 (stage1.c)

6. Implant C2 de niveau 2 (stage2_template.c)

7. Masquage de processus (proc_hide.c)

8. Contrôle par déclenchement de signal (signal_trigger.c)

9. Gigue de sommeil (sleep_jitter.c)

1. Primitive d'exploit durcie (`patch_chunk.c`)

2. Découverte automatique de cibles (`target_discovery.c`)

3. Suite anti-forensique (`anti_forensics.c`)

4. Exécution sans fichier (`memfd_exec.c`)

5. Livraison de la charge utile de niveau 1 (`stage1.c`)

6. Implant C2 de niveau 2 (`stage2_template.c`)

7. Masquage de processus (`proc_hide.c`)

8. Contrôle par déclenchement de signal (`signal_trigger.c`)

9. Gigue de sommeil (`sleep_jitter.c`)