0xKern3lCrush

दो वास्तविक मामलों पर Windows BYOVD शोध: Safetica ProcessMonitorDriver (CVE-2026-0828) और MedusaLocker द्वारा दुरुपयोग किया गया ThrottleStop ड्राइवर (CVE-2025-7771)। यह रिपॉज़िटरी उजागर इंटरफ़ेस, प्रत्येक द्वारा प्राप्त विशेषाधिकार प्राप्त परिणाम, और दुरुपयोग का पता कैसे लगाया जाए, का दस्तावेज़ीकरण करती है। इसमें केवल सुरक्षित यूज़र-मोड टोह शामिल है: कोई कर्नेल-मोड कोड नहीं, कोई IOCTL आह्वान नहीं, और कोई प्रक्रिया समाप्ति रूटीन नहीं।

0xKern3lCrush क्या है?

एंडपॉइंट सुरक्षा तेजी से अपनी प्रक्रियाओं को सुरक्षा स्तरों और प्रतिबंधित टोकनों से सुरक्षित कर रही है, इसलिए हमलावर Bring Your Own Vulnerable Driver के साथ लड़ाई को कर्नेल में ले जाते हैं। वे एक वैध लेकिन भेद्य हस्ताक्षरित ड्राइवर गिराते हैं, एक कमजोर IOCTL हैंडलर को कॉल करते हैं, और एक कर्नेल प्रिमिटिव तक पहुँचते हैं जैसे मनमाना प्रक्रिया समाप्ति या मनमाना मेमोरी पढ़ना और लिखना।

यह रिपॉज़िटरी दो सार्वजनिक मामलों पर उस पैटर्न का अध्ययन करती है और प्रत्येक को पहचान और सख्ती की सामग्री में बदल देती है।

यह रिपॉज़िटरी एक अध्ययन है, कोई हथियार नहीं। इसमें कोई कार्यशील एक्सप्लॉइट और कोई कर्नेल-मोड कोड नहीं है।

यह क्यों मायने रखता है

Safetica और ThrottleStop मामले सैद्धांतिक नहीं हैं। ThrottleStop.sys को MedusaLocker ऑपरेटरों ने वास्तविक घुसपैठ में हथियारबंद किया था, और यह पैटर्न 2024 और 2026 के बीच दुरुपयोग किए गए दर्जनों हस्ताक्षरित ड्राइवरों में सामान्यीकृत होता है। एक ड्राइवर जो कर्नेल प्रक्रिया समाप्ति या कर्नेल मेमोरी लेखन तक पहुँचता है, पेलोड आने से पहले एंडपॉइंट सुरक्षा को चुप कराने का सीधा रास्ता है।

शोध योगदान

यहाँ योगदान प्रत्येक मामले का स्पष्ट, पुनरुत्पादनीय लेखन और उससे निकलने वाली रक्षात्मक सामग्री है:

• प्रत्येक ड्राइवर के लिए उजागर डिवाइस और IOCTL सतह
• प्रत्येक हैंडलर में मूल कारण
• विशेषाधिकार प्राप्त परिणाम और उसका वास्तविक दुनिया में उपयोग
• ड्राइवर आर्टिफैक्ट हैश और सार्वजनिक शोध मिरर
• पहचान और शमन मार्गदर्शन

Safetica ProcessMonitorDriver - CVE-2026-0828

• प्रकाशक: Safetica Endpoint Client x64।
• ड्राइवर: ProcessMonitorDriver.sys।
• प्रभावित संस्करण: 10.5.75.0, 11.11.4.0।
• प्रकाशित: जनवरी 2026 (KOSEC शोध मूल रूप से नवंबर 2025)।
• मूल कारण: IOCTL हैंडलर कॉलर विशेषाधिकार को मान्य नहीं करता है और समाप्ति पथ पर इनपुट को साफ़ नहीं करता है।
• परिणाम: एक गैर-विशेषाधिकार प्राप्त कॉलर कर्नेल संदर्भ से मनमानी प्रक्रियाओं को समाप्त कर सकता है, जिसमें संरक्षित और सिस्टम महत्वपूर्ण प्रक्रियाएँ भी शामिल हैं।
• वास्तविक दुनिया में उपयोग: एक क्लासिक BYOVD प्रिमिटिव। हमलावर ड्राइवर गिराता है, एंडपॉइंट सुरक्षा समाप्त करता है, और पेलोड के साथ आगे बढ़ता है।
• स्थिति: फरवरी 2026 तक कोई विक्रेता पैच सार्वजनिक रूप से पुष्ट नहीं। CERT VU#818729 20 जनवरी 2026 को प्रकाशित हुआ था।

ज्ञात हैश और मिरर drivers/0xhashes.md में हैं। पूर्ण नोट्स research/0xsafetica-cve-2026-0828.md में हैं।

ThrottleStop - CVE-2025-7771

MedusaLocker ऑपरेटरों ने वास्तविक घुसपैठ में ThrottleStop.sys, TechPowerUp CPU थ्रॉटलिंग टूल के ड्राइवर को हथियारबंद किया, जिसमें अगस्त 2025 में Kaspersky द्वारा विश्लेषित एक ब्राज़ीलियाई घटना भी शामिल है। यह सीधे IOCTL किल की तुलना में एक अधिक उन्नत प्रवाह है।

• ड्राइवर: ThrottleStop.sys, हमलावरों द्वारा ThrottleBlood.sys का नाम बदला गया, TechPowerUp द्वारा 2020 DigiCert EV प्रमाणपत्र के साथ हस्ताक्षरित।
• मूल कारण: ड्राइवर IOCTL को उजागर करता है जो बिना किसी एक्सेस जाँच के MmMapIoSpace तक पहुँचते हैं, इसलिए एक यूज़र-मोड कॉलर भौतिक मेमोरी पढ़ और लिख सकता है।
• प्रवाह, केवल विश्लेषण:
  1. नाम बदले गए ड्राइवर को सेवा के रूप में लोड करें और \\.\ThrottleStop खोलें।
  2. भेद्य IOCTL भेजें (भौतिक पढ़ना 0x80006498, लिखना 0x8000649C)।
  3. NtQuerySystemInformation(SystemModuleInformation) के माध्यम से कर्नेल बेस क्वेरी करके KASLR को बायपास करें।
  4. वर्चुअल को भौतिक में अनुवाद करें, अक्सर SuperFetch सूचना लीक के माध्यम से।
  5. एक हुक के साथ शायद ही उपयोग किए जाने वाले फ़ंक्शन को अधिलेखित करें।
  6. हुक प्रक्रिया लुकअप और समाप्ति पथ तक पहुँचता है और सुरक्षा प्रक्रियाओं की एक हार्डकोडेड सूची को मार देता है।
  7. मूल बाइट्स को पुनर्स्थापित करें और रैनसमवेयर तैनात करें।
• परिणाम: संरक्षित सुरक्षा प्रक्रियाओं की कर्नेल-स्तरीय समाप्ति, जो एन्क्रिप्शन को आगे बढ़ने देती है।
• स्थिति: विक्रेता 2025 तक पैच तैयार कर रहा था; ड्राइवर शुरुआत में Microsoft ब्लॉकलिस्ट पर नहीं था।

पूर्ण नोट्स research/0xthrottlestop-medusalocker.md में हैं। प्राथमिक स्रोत: Kaspersky Securelist, अगस्त 2025।

पहचान

• ड्राइवर लोड: एक .sys फ़ाइल से बनाई गई यादृच्छिक या नाम बदली कर्नेल सेवा पर नज़र रखें जिसके तुरंत बाद एक स्टार्ट हो। Event ID 7045 और, सेवा ऑडिटिंग चालू होने पर, 4697।
• डिवाइस एक्सेस: प्रत्येक ड्राइवर द्वारा उजागर डिवाइस नामों पर खोले गए हैंडल, एक अप्रत्याशित प्रक्रिया से।
• IOCTL: समाप्ति और भौतिक मेमोरी IOCTL कोड, संरक्षित सुरक्षा प्रक्रियाओं की प्रक्रिया समाप्ति के साथ सहसंबद्ध।
• ब्लॉकलिस्ट: Microsoft भेद्य ड्राइवर ब्लॉकलिस्ट और अपनी WDAC नीति को अद्यतित रखें; जहाँ वे लागू हैं वहाँ लोड विफल हो जाता है।

शमन नोट्स docs/0xmitigations.md में हैं।

सुरक्षित टोह

src/0xPoC.c केवल-पढ़ने योग्य है। यह Toolhelp32 API के माध्यम से चल रही प्रक्रियाओं की गणना करता है और सामान्य सुरक्षा उत्पादों के नाम प्रिंट करता है। यह पहला टोह कदम है और यह कोई विशेषाधिकार प्राप्त कार्रवाई नहीं करता है।

# From a Visual Studio Developer Command Prompt
cl.exe /EHsc /W4 src/0xPoC.c
0xPoC.exe

रिपॉज़िटरी संरचना

0xKern3lCrush/
|-- README.md
|-- LICENSE
|-- SECURITY.md
|-- src/
|   |-- 0xPoC.c          read-only process enumeration
|   +-- 0xtargets.h      target name list
|-- drivers/
|   +-- 0xhashes.md      artifact hashes and public mirrors
|-- research/
|   |-- 0xbyovd-patterns.md
|   |-- 0xsafetica-cve-2026-0828.md
|   +-- 0xthrottlestop-medusalocker.md
+-- docs/
    +-- 0xmitigations.md

सीमाएँ

• डिज़ाइन के अनुसार, कोई कार्यशील एक्सप्लॉइट शामिल नहीं है।
• लेखन सार्वजनिक प्रकटीकरणों और स्थिर विश्लेषण पर आधारित हैं।
• ब्लॉकलिस्ट स्थिति स्नैपशॉट-विशिष्ट है और समय के साथ बदलती है।
• संस्करण कवरेज लेखन के समय जो सार्वजनिक था उसे दर्शाता है।

संदर्भ

• Safetica ProcessMonitorDriver, CERT VU#818729 (2026-01-20)।
• Kaspersky Securelist, ThrottleStop.sys का शोषण करने वाला AV killer (2025-08)।
• Microsoft भेद्य ड्राइवर ब्लॉकलिस्ट।

जिम्मेदार उपयोग

यह परियोजना शोध और रक्षा के लिए मौजूद है। इन ड्राइवरों को केवल उन सिस्टमों पर लोड करें जिनके आप स्वामी हैं या परीक्षण के लिए अधिकृत हैं, और केवल एक पृथक वातावरण में जिसमें वापस रोल करने के लिए स्नैपशॉट हो। बिना प्राधिकरण के एक भेद्य हस्ताक्षरित ड्राइवर लोड करना या एक तैयार किया गया IOCTL भेजना अधिकांश न्यायक्षेत्रों में अवैध है।