Copy Fail -- CVE-2026-31431

Implementazione C robusta per operazioni di red team e penetration testing autorizzato.

⚠️ Avviso legale: Questo strumento è destinato esclusivamente a ricerche di sicurezza autorizzate, penetration testing autorizzato e analisi difensiva. Utilizzalo solo su sistemi di tua proprietà o per i quali hai ottenuto esplicita autorizzazione scritta per il test. L'accesso non autorizzato ai sistemi informatici è illegale.

🚀 Lo sviluppo principale è stato spostato su GitLab.
Questo repository è attivamente mantenuto qui. Per problemi e contributi, si prega di utilizzare GitLab.

Panoramica

Questo progetto è una implementazione C robusta e pronta per la produzione dell'exploit di escalation dei privilegi locale CVE-2026-31431 ("Copy Fail"), originariamente divulgato da Theori e Xint il 29 aprile 2026.

Il proof-of-concept originale era scritto in Python e progettato per dimostrazione di ricerca. Questa implementazione lo trasforma in un toolkit di livello red team con:

Zero artefatti su disco (esecuzione fileless tramite memfd)
Scoperta automatica dei target (enumerazione dei binari setuid con consapevolezza MAC)
Anti-forensics (cancellazione cache, ripristino timestamp, autodistruzione)
Controllo operatore (esecuzione attivata da segnale con timeout configurabili)
Build statiche cross-platform (x86_64, ARM64, RISC-V tramite musl/zig)

Ricerca originale

CVE-2026-31431: Copy Fail

Attributo	Valore
Data di divulgazione	29 aprile 2026
Ricercatori	Theori (Jinoh Kang, Yonghwi Jin, Seunghyun Lee), Xint
Writeup	https://copy.fail/
PoC originale	theori-io/copy-fail-CVE-2026-31431 (Python)
Porting C (Base)	tgies/copy-fail-c di Tony Gies
Kernel affetti	Linux 4.14 -- 6.14 (prima del commit di correzione `a664bf3d603d`)
Gravità	CVSS 7.8 (Alta) -- Escalation dei privilegi locale

Meccanismo della vulnerabilità

La vulnerabilità risiede nel sottosistema crypto AF_ALG del kernel Linux. Il template AEAD authencesn implementa un'ottimizzazione in-place per la decrittografia: quando il testo cifrato viene fornito tramite splice() dalla cache di pagina di un file, il kernel riutilizza la stessa pagina sia come sorgente che come destinazione.

Il flusso dell'attacco:

Aprire un binario setuid (es. /usr/bin/su) in sola lettura
Impostare un'operazione AEAD authencesn(hmac(sha256),cbc(aes)) tramite AF_ALG
Fornire il testo cifrato tramite splice() dalla cache di pagina del file target
L'operazione di decrittografia (fallita) sovrascrive 4 byte della pagina della cache di pagina prima che l'autenticazione la rifiuti
Ripetere per ogni finestra di 4 byte del payload
Eseguire execve() sul target -- il kernel carica le pagine mutate dalla cache, concede credenziali setuid-root
Il payload si trasforma in una shell root completa

Punto chiave: L'inode su disco non viene mai modificato. Viene mutata solo la cache di pagina in memoria, rendendo il rilevamento forense significativamente più difficile rispetto agli exploit tradizionali di sovrascrittura dei file.

I nostri miglioramenti

Questo progetto estende la ricerca originale con indurimento orientato al red team attraverso nove moduli.

1. Primitiva di exploit robusta (`patch_chunk.c`)

Caratteristica	Originale	La nostra implementazione
Gestione socket	Socket fresco per chunk	Riutilizzo socket (~60% meno chiamate di sistema)
Verifica	Nessuna	mmap + memcmp con tentativi automatici (3 tentativi)
Scritture parallele	Solo sequenziali	Parallelo basato su fork (fino a 16 processi)
Codici di errore	Successo/fallimento binario	Granulare: 0=verificato, 1=kernel corretto, -1=fatale
Allocazioni heap	`malloc` nel percorso critico	Solo stack (nessun jitter di allocazione)

2. Scoperta automatica dei target (`target_discovery.c`)

Scansione a tre fasi: target prioritari → directory standard → scansione profonda
Punteggio consapevole MAC: penalizza i binari con profili AppArmor/SELinux
18 target prioritari: su, sudo, passwd, pkexec, mount, ping, ecc.
Catena di fallback: se il target primario fallisce, seleziona automaticamente il miglior candidato successivo
Consapevolezza Snap: salta /snap (setuid non tradizionale)

3. Suite anti-forensics (`anti_forensics.c`)

Tecnica	Scopo
`posix_fadvise(POSIX_FADV_DONTNEED)`	Evizione della cache di pagina per file
`echo 3 > /proc/sys/vm/drop_caches`	Cancellazione globale della cache (post-root)
`utimensat()` timestomp	Ripristino di atime/mtime originali
Autodistruzione	Sovrascrivi il binario dropper con zeri prima di exec
Pulizia memoria	Azzeramento `volatile` dei buffer sensibili

4. Esecuzione fileless (`memfd_exec.c`)

memfd_create + fexecve: esecuzione senza percorso filesystem
Mimetizzazione: memfd denominato come kworker, anon_inode, eventfd (si confonde in /proc/$pid/fd/)
Fork-e-dimentica: doppio fork per creare un processo orfano (PPID=1)
Decrittografia in memoria: decrittografia XOR e RC4 seguita da exec (payload mai in chiaro su disco)

5. Consegna del payload Stage-1 (`stage1.c`)

Canale	Furtività	Velocità	Priorità di fallback
Incorporato	Massima	Istantanea	Ultima (airgap)
HTTP diretto	Media	<1s	Prima
curl/wget di sistema	Bassa	1-3s	Seconda (supporto HTTPS)
DNS TXT	Alta	Lenta	Terza (bypass firewall)

6. Impianto C2 Stage-2 (`stage2_template.c`)

Ciclo di riconnessione resiliente con backoff esponenziale
Tre distribuzioni: uniforme, triangolare, jitter esponenziale
Controllo tramite segnale: SIGUSR1 (attiva), SIGUSR2 (stato), SIGTERM (spegnimento)
Beaconing DNS: controllo stealth dello stato C2 prima della connessione TCP
Mascheramento del processo: [kworker/N:0] in ps/top

7. Occultamento del processo (`proc_hide.c`)

Sovrascrittura argv[0]: sostituzione in-place di /proc/$pid/cmdline
prctl(PR_SET_NAME): nomi in stile thread del kernel (limite 16 byte)
Sanitizzazione dell'ambiente: pulizia selettiva di SSH_*, AWS_*, TOKEN*, ecc.
Distacco dal genitore: setsid() + setpgid() per indipendenza dal terminale

8. Controllo dell'attivazione tramite segnale (`signal_trigger.c`)

Modalità	Comportamento	Caso d'uso
`trigger_oneshot()`	Sleep → attiva → esegui → esci	Colpisci e scappa
`trigger_daemon()`	Sleep → attiva → esegui → loop	Impianto persistente
`trigger_auto()`	Sleep con timeout di fallback	Operazioni senza supervisione

Attesa a zero CPU: sigsuspend() invece di cicli di polling.

9. Jitter di sleep (`sleep_jitter.c`)

Tre backend RNG: getrandom(2), /dev/urandom, fallback rdtsc
Campionamento per rifiuto: elimina il bias modulo nella distribuzione uniforme
Compensazione della deriva: sleep_scheduled() mantiene l'intervallo medio nonostante il jitter
Rilevamento sandbox: check_sandbox_acceleration() rileva sleep() corretto

Più Popolari

Informazioni

COPY-FAIL

Copy Fail -- CVE-2026-31431

Indice

Panoramica

Ricerca originale

CVE-2026-31431: Copy Fail

Meccanismo della vulnerabilità

I nostri miglioramenti

1. Primitiva di exploit robusta (`patch_chunk.c`)

2. Scoperta automatica dei target (`target_discovery.c`)

3. Suite anti-forensics (`anti_forensics.c`)

4. Esecuzione fileless (`memfd_exec.c`)

5. Consegna del payload Stage-1 (`stage1.c`)

6. Impianto C2 Stage-2 (`stage2_template.c`)

7. Occultamento del processo (`proc_hide.c`)

8. Controllo dell'attivazione tramite segnale (`signal_trigger.c`)

9. Jitter di sleep (`sleep_jitter.c`)

Architettura

Più Popolari

Informazioni

COPY-FAIL

Copy Fail -- CVE-2026-31431

Indice

Panoramica

Ricerca originale

CVE-2026-31431: Copy Fail

Meccanismo della vulnerabilità

I nostri miglioramenti

1. Primitiva di exploit robusta (patch_chunk.c)

2. Scoperta automatica dei target (target_discovery.c)

3. Suite anti-forensics (anti_forensics.c)

4. Esecuzione fileless (memfd_exec.c)

5. Consegna del payload Stage-1 (stage1.c)

6. Impianto C2 Stage-2 (stage2_template.c)

7. Occultamento del processo (proc_hide.c)

8. Controllo dell'attivazione tramite segnale (signal_trigger.c)

9. Jitter di sleep (sleep_jitter.c)

Architettura

1. Primitiva di exploit robusta (`patch_chunk.c`)

2. Scoperta automatica dei target (`target_discovery.c`)

3. Suite anti-forensics (`anti_forensics.c`)

4. Esecuzione fileless (`memfd_exec.c`)

5. Consegna del payload Stage-1 (`stage1.c`)

6. Impianto C2 Stage-2 (`stage2_template.c`)

7. Occultamento del processo (`proc_hide.c`)

8. Controllo dell'attivazione tramite segnale (`signal_trigger.c`)

9. Jitter di sleep (`sleep_jitter.c`)