cwjchoi01/cve-2026-3796CVE-2026-3796の概念実証エクスプロイト。脆弱なQAXドライバを介した任意のプロセス終了を実証します。使用方法を含み、教育および研究目的を意図しています。
QAXウイルス除去ツールの2025年10月22日以前のバージョンにおいて、影響を受けるドライバQKSecureIO_Imp.sysは、呼び出し元プロセスのイメージに基づいてミニフィルタードライバとの通信を許可するかどうかを判断します。攻撃者は、DLLサイドローディングやプロセスインジェクションなどの手法を通じて正当な呼び出し元プロセスのイメージを偽装し、特定のペイロードを含むメッセージをミニフィルターに送信して、保護されたプロセスなどの任意のプロセスを終了させることができます。
このアプリケーションはウイルスを除去するために使用されます。アプリケーションのドライバがインポートする関数の1つにZwTerminateProcessがあり、終了させるプロセスに対するチェックが不足しているため、任意のプロセスを終了させることができます。また、ドライバによる呼び出し元プロセスの身元確認は単純なものであり、DLLサイドローディングなどの手法を用いてバイパスすることが可能です。
x86でコンパイルしますC:\Windows\system32\driversに配置しますset pid=<終了させたいターゲットPID>を実行します注: 脆弱なドライバはこのプロジェクトでは共有されません。
このツールは教育および研究目的のみで使用してください。所有しているシステム、または明示的なテスト許可を得たシステムでのみ使用してください。作者は、このプログラムによって引き起こされた誤用や損害について一切の責任を負いません。
