CVE-2026-36425 : Terminazione Arbitraria dei Processi in OPSWAT AppRemover

Un driver kernel OPSWAT firmato che termina qualsiasi processo su richiesta. Nessun diritto di amministratore richiesto, nessun controllo dei privilegi, nessuna domanda. Puntalo a un EDR, a un antivirus, a un processo protetto da PPL e muore. Tre diversi metodi di terminazione, tutti eseguiti in modalità kernel, tutti attivati da una singola IOCTL da qualsiasi utente locale. Identificate 16 varianti vulnerabili del driver, tutte validamente firmate.

⚠️ Questo repository è solo a scopo didattico e di ricerca. L'autore non è responsabile per qualsiasi uso improprio delle informazioni o degli strumenti forniti.

📝 Articolo del blog: Presentazione di CVE-2026-36425 | OPSWAT EDR Terminator

Nell'articolo del blog illustriamo l'intero processo di reverse engineering del driver in IDA Pro, dalla configurazione di DriverEntry alla catena di dispatch delle IOCTL, e analizziamo i tre diversi metodi di terminazione dei processi che il driver utilizza internamente. Dimostriamo anche un test dal vivo contro uno dei famosi EDR, caricando il driver firmato e terminando l'agente dalla modalità kernel.

Panoramica

Descrizione

Il driver kernel AppRemover di OPSWAT (ardrv.sys) espone un device object (\\.\ardrv) accessibile a qualsiasi utente locale senza validazione dei privilegi. Il gestore IOCTL del driver 0x2420031 esegue la terminazione dei processi su un PID fornito dal chiamante utilizzando tre metodi distinti:

1. Corruzione della memoria : si aggancia al processo target tramite KeAttachProcess e sovrascrive le prime 4096 pagine con 0xCC (breakpoint INT3), forzando un crash.
2. Terminazione diretta : apre il processo tramite ObOpenObjectByPointer e chiama ZwTerminateProcess per valori PID elevati.
3. Terminazione tramite Job Object : crea un Job Object, assegna il processo target a quest'ultimo e termina l'intero job tramite ZwTerminateJobObject come fallback.

Tutti e tre i metodi vengono eseguiti nel contesto del kernel senza validazione del chiamante, senza controlli dei privilegi e senza protezione per i processi critici o PPL. Questo può essere sfruttato per terminare agenti EDR/AV e altri software di sicurezza.

Utilizzo

ardrvkiller.exe <PID>

Caricare il driver

sc.exe create ardrv binPath="C:\path\to\ardrv_XX.sys" type=kernel
sc.exe start ardrv

Terminare un processo

ardrvkiller.exe 1234

Varianti vulnerabili del driver

16 varianti identificate, tutte firmate da OPSWAT, tutte con la stessa vulnerabilità.

Cronologia

Riferimenti

• Scheda CVE
• NVD
• Articolo del blog

autore

j3h4ck @j3h4ck | linkedin | medium