कॉपी फेल -- CVE-2026-31431

रेडटीम और अधिकृत पैनेट्रेशन परीक्षण संचालन के लिए कठोर C कार्यान्वयन।

⚠️ कानूनी सूचना: यह उपकरण केवल अधिकृत सुरक्षा अनुसंधान, अधिकृत पैनेट्रेशन परीक्षण और रक्षात्मक विश्लेषण के लिए है। उन सिस्टमों पर उपयोग करें जिनके आप स्वामी हैं या जिनका परीक्षण करने की स्पष्ट लिखित अनुमति है। कंप्यूटर सिस्टमों तक अनधिकृत पहुंच अवैध है।

🚀 प्राथमिक विकास GitLab पर स्थानांतरित हो गया है।
यह रिपॉजिटरी यहां सक्रिय रूप से बनाए रखा जाता है। समस्याओं और योगदान के लिए, कृपया GitLab का उपयोग करें।

---

विषयसूची

• अवलोकन
• मूल अनुसंधान
• हमारे सुधार
• आर्किटेक्चर
• बिल्ड
• उपयोग
• मॉड्यूल
• परिचालन सुरक्षा
• पहचान और शमन
• श्रेय
• लाइसेंस

---

अवलोकन

यह प्रोजेक्ट CVE-2026-31431 ("कॉपी फेल") स्थानीय विशेषाधिकार वृद्धि शोषण का एक कठोर, उत्पादन-तैयार C पोर्ट है, जिसे मूलतः Theori और Xint द्वारा 29 अप्रैल 2026 को प्रकट किया गया था।

मूल प्रूफ-ऑफ-कॉन्सेप्ट Python में लिखा गया था और अनुसंधान प्रदर्शन के लिए डिज़ाइन किया गया था। यह कार्यान्वयन इसे निम्नलिखित विशेषताओं के साथ रेडटीम-ग्रेड टूलकिट में बदल देता है:

• शून्य डिस्क आर्टिफैक्ट (मेम्फ़्ड-आधारित फाइललेस निष्पादन)
• स्वचालित लक्ष्य खोज (MAC जागरूकता के साथ setuid बाइनरी गणना)
• एंटी-फोरेंसिक्स (कैश हटाना, टाइमस्टैम्प पुनर्स्थापना, स्व-विनाश)
• ऑपरेटर नियंत्रण (कॉन्फ़िगरेबल टाइमआउट के साथ सिग्नल-ट्रिगर्ड निष्पादन)
• क्रॉस-प्लेटफ़ॉर्म स्थैतिक बिल्ड (musl/zig के माध्यम से x86_64, ARM64, RISC-V)

---

मूल अनुसंधान

CVE-2026-31431: कॉपी फेल

गुण	मान
प्रकटीकरण तिथि	29 अप्रैल, 2026
शोधकर्ता	Theori (Jinoh Kang, Yonghwi Jin, Seunghyun Lee), Xint
विवरण	https://copy.fail/
मूल PoC	theori-io/copy-fail-CVE-2026-31431 (Python)
C पोर्ट (आधार)	tgies/copy-fail-c by Tony Gies
प्रभावित कर्नेल	Linux 4.14 -- 6.14 (सुधार कमिट a664bf3d603d से पहले)
गंभीरता	CVSS 7.8 (उच्च) -- स्थानीय विशेषाधिकार वृद्धि

भेद्यता तंत्र

यह भेद्यता Linux कर्नेल के AF_ALG क्रिप्टो उपतंत्र में निहित है। authencesn AEAD टेम्पलेट डिक्रिप्शन के लिए एक इन-प्लेस ऑप्टिमाइज़ेशन लागू करता है: जब सिफरटेक्स्ट किसी फ़ाइल के पेज कैश से splice() के माध्यम से आपूर्ति की जाती है, तो कर्नेल उसी पेज को स्रोत और गंतव्य दोनों के रूप में पुन: उपयोग करता है।

हमले का प्रवाह:

1. एक setuid बाइनरी (जैसे /usr/bin/su) को केवल-पढ़ने के लिए खोलें
2. AF_ALG के माध्यम से एक authencesn(hmac(sha256),cbc(aes)) AEAD ऑपरेशन सेट करें
3. लक्ष्य फ़ाइल के पेज कैश से splice() के माध्यम से सिफरटेक्स्ट की आपूर्ति करें
4. (असफल) डिक्रिप्ट ऑपरेशन प्रमाणीकरण द्वारा अस्वीकार किए जाने से पहले पेज कैश पेज के 4 बाइट्स को अधिलेखित कर देता है
5. पेलोड के प्रत्येक 4-बाइट विंडो के लिए दोहराएं
6. लक्ष्य पर execve() निष्पादित करें -- कर्नेल कैश से उत्परिवर्तित पेज लोड करता है, setuid-root क्रेड्स प्रदान करता है
7. पेलोड पूर्ण रूट शेल पर स्थानांतरित हो जाता है

मुख्य अंतर्दृष्टि: डिस्क पर मौजूद इनोड कभी संशोधित नहीं होता। केवल इन-मेमोरी पेज कैश उत्परिवर्तित होता है, जिससे पारंपरिक फ़ाइल अधिलेखन शोषणों की तुलना में फोरेंसिक पहचान काफी कठिन हो जाती है।

---

हमारे सुधार

यह प्रोजेक्ट नौ मॉड्यूलों में रेडटीम-उन्मुख सख्तीकरण के साथ मूल अनुसंधान का विस्तार करता है।

1. कठोर शोषण प्राइमिटिव (patch_chunk.c)

विशेषता	मूल	हमारा कार्यान्वयन
सॉकेट प्रबंधन	प्रति खंड नया सॉकेट	सॉकेट पुन: उपयोग (~60% कम सिस्कॉल)
सत्यापन	कोई नहीं	mmap + memcmp स्वचालित पुनर्प्रयास (3 प्रयास) के साथ
समानांतर लेखन	केवल अनुक्रमिक	फोर्क-आधारित समानांतर (16 प्रोसेस तक)
त्रुटि कोड	बाइनरी सफलता/विफलता	सूक्ष्म: 0=सत्यापित, 1=पैच किया हुआ कर्नेल, -1=घातक
हीप आवंटन	हॉट पथ में malloc	केवल स्टैक (कोई आवंटन जिटर नहीं)

2. स्वचालित लक्ष्य खोज (target_discovery.c)

• तीन-चरणीय स्कैनिंग: प्राथमिकता लक्ष्य → मानक निर्देशिकाएं → गहन स्कैन
• MAC-जागरूक स्कोरिंग: AppArmor/SELinux प्रोफाइल वाले बाइनरी को दंडित करता है
• 18 प्राथमिकता लक्ष्य: su, sudo, passwd, pkexec, mount, ping, आदि।
• फ़ॉलबैक श्रृंखला: यदि प्राथमिक लक्ष्य विफल होता है, तो स्वचालित रूप से अगला सर्वश्रेष्ठ उम्मीदवार चुनता है
• स्नैप जागरूकता: /snap (गैर-पारंपरिक setuid) को छोड़ता है

3. एंटी-फोरेंसिक्स सूट (anti_forensics.c)

तकनीक	उद्देश्य
posix_fadvise(POSIX_FADV_DONTNEED)	प्रति-फ़ाइल पेज कैश निष्कासन
echo 3 > /proc/sys/vm/drop_caches	वैश्विक कैश ड्रॉप (पोस्ट-रूट)
utimensat() टाइमस्टॉम्प	मूल atime/mtime पुनर्स्थापित करें
स्व-विनाश	निष्पादन से पहले ड्रॉपर बाइनरी को शून्य से अधिलेखित करें
मेमोरी वाइप	संवेदनशील बफ़र्स का volatile शून्यीकरण

4. फाइललेस निष्पादन (memfd_exec.c)

• memfd_create + fexecve: फ़ाइल सिस्टम पथ के बिना निष्पादित करें
• क्लोकिंग: memfd को kworker, anon_inode, eventfd नाम दिया गया (/proc/$pid/fd/ में घुलमिल जाता है)
• फोर्क-एंड-फॉरगेट: डबल-फोर्क करके अनाथ प्रक्रिया बनाएं (PPID=1)
• इन-मेमोरी डिक्रिप्शन: XOR और RC4 डिक्रिप्ट-देन-एक्जीक्यूट (पेलोड कभी डिस्क पर सादा टेक्स्ट नहीं)

5. स्टेज-1 पेलोड डिलीवरी (stage1.c)

चैनल	छिपाव	गति	फ़ॉलबैक प्राथमिकता
एम्बेडेड	अधिकतम	तत्काल	अंतिम (एयरगैप)
HTTP डायरेक्ट	मध्यम	<1s	पहला
सिस्टम curl/wget	कम	1-3s	दूसरा (HTTPS समर्थन)
DNS TXT	उच्च	धीमा	तीसरा (फ़ायरवॉल बायपास)

6. स्टेज-2 C2 इम्प्लांट (stage2_template.c)

• लचीला पुनर्संयोजन लूप एक्सपोनेंशियल बैकऑफ़ के साथ
• तीन वितरण: यूनिफ़ॉर्म, त्रिकोणीय, एक्सपोनेंशियल जिटर
• सिग्नल नियंत्रण: SIGUSR1 (ट्रिगर), SIGUSR2 (स्थिति), SIGTERM (शटडाउन)
• DNS बीकनिंग: TCP कनेक्ट से पहले छिपी C2 स्वास्थ्य जांच
• प्रक्रिया मास्करेड: ps/top में [kworker/N:0]

7. प्रक्रिया छिपाना (proc_hide.c)

• argv[0] अधिलेखन: /proc/$pid/cmdline का इन-प्लेस प्रतिस्थापन
• prctl(PR_SET_NAME): कर्नेल थ्रेड-शैली नाम (16-बाइट सीमा)
• पर्यावरण स्वच्छीकरण: SSH_*, AWS_*, TOKEN*, आदि का चयनात्मक वाइप
• माता-पिता से अलगाव: टर्मिनल स्वतंत्रता के लिए setsid() + setpgid()

8. सिग्नल ट्रिगर नियंत्रण (signal_trigger.c)

मोड	व्यवहार	उपयोग मामला
trigger_oneshot()	सोएं → ट्रिगर → निष्पादित करें → बाहर निकलें	हिट-एंड-रन
trigger_daemon()	सोएं → ट्रिगर → निष्पादित करें → लूप	स्थायी इम्प्लांट
trigger_auto()	टाइमआउट फ़ॉलबैक के साथ सोएं	अनअटेंडेड ऑप्स

शून्य-सीपीयू प्रतीक्षा: पोलिंग लूप के बजाय sigsuspend()।

9. स्लीप जिटर (sleep_jitter.c)

• तीन RNG बैकएंड: getrandom(2), /dev/urandom, rdtsc फ़ॉलबैक
• अस्वीकृति नमूनाकरण: समान वितरण में मॉड्यूलो पूर्वाग्रह को समाप्त करता है
• ड्रिफ्ट मुआवजा: sleep_scheduled() जिटर के बावजूद औसत अंतराल बनाए रखता है
• सैंडबॉक्स पहचान: check_sandbox_acceleration() पैच किए गए sleep() का पता लगाता है

---

आर्किटेक्चर