0xKern3lCrush

Ricerca BYOVD su Windows relativa a due casi reali: il Safetica ProcessMonitorDriver (CVE-2026-0828) e il driver ThrottleStop sfruttato da MedusaLocker (CVE-2025-7771). Il repository documenta le interfacce esposte, il risultato privilegiato che ciascuna raggiunge e come rilevarne l'abuso. Include esclusivamente una ricognizione sicura in user-mode: nessun codice kernel-mode, nessuna invocazione di IOCTL e nessuna routine di terminazione dei processi.

Cos'è 0xKern3lCrush?

La protezione degli endpoint difende sempre più i propri processi con livelli di protezione e token limitati, perciò gli attaccanti spostano lo scontro nel kernel con il Bring Your Own Vulnerable Driver. Depositano un driver firmato legittimo ma vulnerabile, chiamano un handler IOCTL debole e raggiungono una primitiva del kernel come la terminazione arbitraria di processi o la lettura e scrittura arbitraria di memoria.

Questo repository studia tale schema su due casi pubblici e trasforma ciascuno di essi in materiale di rilevamento e hardening.

Il repository è uno studio, non un'arma. Non contiene alcun exploit funzionante e nessun codice kernel-mode.

Perché è importante

I casi Safetica e ThrottleStop non sono teorici. ThrottleStop.sys è stato usato come arma dagli operatori di MedusaLocker in intrusioni reali, e lo schema si generalizza a dozzine di driver firmati sfruttati tra il 2024 e il 2026. Un driver che raggiunge la terminazione di processi a livello kernel o la scrittura in memoria del kernel è un percorso diretto per mettere a tacere la protezione degli endpoint prima che un payload venga depositato.

Contributo della ricerca

Il contributo qui è una descrizione chiara e riproducibile di ciascun caso e del materiale difensivo che ne deriva:

• la superficie esposta del device e degli IOCTL per ciascun driver
• la causa radice in ciascun handler
• il risultato privilegiato e il suo uso nel mondo reale
• gli hash degli artefatti del driver e i mirror pubblici della ricerca
• indicazioni di rilevamento e mitigazione

Safetica ProcessMonitorDriver - CVE-2026-0828

• Editore: Safetica Endpoint Client x64.
• Driver: ProcessMonitorDriver.sys.
• Versioni interessate: 10.5.75.0, 11.11.4.0.
• Pubblicato: gennaio 2026 (ricerca KOSEC originariamente novembre 2025).
• Causa radice: l'handler IOCTL non convalida il privilegio del chiamante e non sanifica l'input sul percorso di terminazione.
• Risultato: un chiamante non privilegiato può terminare processi arbitrari, inclusi quelli protetti e critici per il sistema, dal contesto del kernel.
• Uso nel mondo reale: una classica primitiva BYOVD. L'attaccante deposita il driver, termina la protezione degli endpoint e procede con il payload.
• Stato: nessuna patch del fornitore confermata pubblicamente a febbraio 2026. CERT VU#818729 è stato pubblicato il 20 gennaio 2026.

Gli hash e i mirror noti sono in drivers/0xhashes.md. Le note complete sono in research/0xsafetica-cve-2026-0828.md.

ThrottleStop - CVE-2025-7771

Gli operatori di MedusaLocker hanno usato come arma ThrottleStop.sys, il driver dello strumento di throttling della CPU di TechPowerUp, in intrusioni reali, incluso un incidente brasiliano analizzato da Kaspersky nell'agosto 2025. È un flusso più avanzato rispetto a un semplice kill tramite IOCTL.

• Driver: ThrottleStop.sys, rinominato in ThrottleBlood.sys dagli attaccanti, firmato da TechPowerUp con un certificato EV DigiCert del 2020.
• Causa radice: il driver espone IOCTL che raggiungono MmMapIoSpace senza controllo di accesso, quindi un chiamante in user-mode può leggere e scrivere la memoria fisica.
• Flusso, solo analisi:
  1. Caricare il driver rinominato come servizio e aprire \\.\ThrottleStop.
  2. Inviare gli IOCTL vulnerabili (lettura fisica 0x80006498, scrittura 0x8000649C).
  3. Aggirare il KASLR interrogando la base del kernel tramite NtQuerySystemInformation(SystemModuleInformation).
  4. Tradurre virtuale in fisico, spesso tramite un information leak di SuperFetch.
  5. Sovrascrivere una funzione usata raramente con un hook.
  6. L'hook raggiunge il percorso di lookup e terminazione dei processi e uccide una lista hardcoded di processi di sicurezza.
  7. Ripristinare i byte originali e distribuire il ransomware.
• Risultato: terminazione a livello kernel di processi di sicurezza protetti, che consente alla cifratura di procedere.
• Stato: il fornitore stava preparando una patch nel corso del 2025; il driver non era nella blocklist di Microsoft all'inizio.

Le note complete sono in research/0xthrottlestop-medusalocker.md. Fonte primaria: Kaspersky Securelist, agosto 2025.

Rilevamento

• Caricamento del driver: tenere sotto controllo un servizio kernel casuale o rinominato creato da un file .sys seguito immediatamente da un avvio. Event ID 7045 e, con il service auditing attivo, 4697.
• Accesso al device: handle aperti sui nomi dei device che ciascun driver espone, da un processo inatteso.
• IOCTL: i codici IOCTL di terminazione e di memoria fisica, correlati con la terminazione di processi di sicurezza protetti.
• Blocklist: mantenere aggiornati la blocklist dei driver vulnerabili di Microsoft e la tua policy WDAC; il caricamento fallisce dove sono applicate.

Le note di mitigazione sono in docs/0xmitigations.md.

Ricognizione sicura

src/0xPoC.c è di sola lettura. Enumera i processi in esecuzione tramite le API Toolhelp32 e stampa i nomi dei prodotti di sicurezza comuni. È il primo passo di ricognizione e non esegue alcuna azione privilegiata.

# From a Visual Studio Developer Command Prompt
cl.exe /EHsc /W4 src/0xPoC.c
0xPoC.exe

Struttura del repository

0xKern3lCrush/
|-- README.md
|-- LICENSE
|-- SECURITY.md
|-- src/
|   |-- 0xPoC.c          read-only process enumeration
|   +-- 0xtargets.h      target name list
|-- drivers/
|   +-- 0xhashes.md      artifact hashes and public mirrors
|-- research/
|   |-- 0xbyovd-patterns.md
|   |-- 0xsafetica-cve-2026-0828.md
|   +-- 0xthrottlestop-medusalocker.md
+-- docs/
    +-- 0xmitigations.md

Limitazioni

• Nessun exploit funzionante è incluso, per scelta progettuale.
• Le descrizioni si basano su divulgazioni pubbliche e analisi statica.
• Lo stato della blocklist è specifico di un'istantanea e cambia nel tempo.
• La copertura delle versioni riflette ciò che era pubblico al momento della stesura.

Riferimenti

• Safetica ProcessMonitorDriver, CERT VU#818729 (2026-01-20).
• Kaspersky Securelist, AV killer exploiting ThrottleStop.sys (2025-08).
• Microsoft vulnerable driver blocklist.

Uso responsabile

Questo progetto esiste per la ricerca e la difesa. Carica questi driver solo su sistemi che possiedi o che sei autorizzato a testare, e solo in un ambiente isolato con uno snapshot a cui ripristinare. Caricare un driver firmato vulnerabile o inviare un IOCTL craftato senza autorizzazione è illegale nella maggior parte delle giurisdizioni.