0xKern3lCrush

2つの実例に関するWindows BYOVDリサーチ: Safetica ProcessMonitorDriver (CVE-2026-0828) と、MedusaLockerに悪用されたThrottleStopドライバ (CVE-2025-7771)。本リポジトリは、露出したインターフェース、それぞれが到達する 特権的な結果、およびその悪用を検出する方法を文書化している。同梱されるのは 安全なユーザーモード偵察のみである。カーネルモードコード、IOCTL呼び出し、 プロセス終了ルーチンは含まれない。

0xKern3lCrushとは何か？

エンドポイント保護は自らのプロセスを保護レベルと制限付きトークンで守るように なってきているため、攻撃者はBring Your Own Vulnerable Driverを用いて戦いを カーネルへと移す。彼らは正規だが脆弱な署名済みドライバを投入し、脆弱なIOCTL ハンドラを呼び出し、任意のプロセス終了や任意のメモリ読み書きといったカーネル プリミティブに到達する。

本リポジトリは、このパターンを2つの公開事例で研究し、それぞれを検出および ハードニングの資料へと変える。

本リポジトリは研究であり、兵器ではない。動作するエクスプロイトも カーネルモードコードも含まれない。

なぜこれが重要か

SafeticaとThrottleStopの事例は理論上のものではない。ThrottleStop.sysは MedusaLockerのオペレーターによって実際の侵入で兵器化され、このパターンは 2024年から2026年の間に悪用された数十の署名済みドライバに一般化する。カーネル プロセス終了やカーネルメモリ書き込みに到達するドライバは、ペイロードが 着地する前にエンドポイント保護を沈黙させる直接的な経路である。

研究上の貢献

ここでの貢献は、各事例とそこから導かれる防御資料についての、明確で再現可能な 解説である:

• 各ドライバが露出するデバイスおよびIOCTLサーフェス
• 各ハンドラにおける根本原因
• 特権的な結果とその実世界での利用
• ドライバ成果物のハッシュと公開リサーチミラー
• 検出および緩和のガイダンス

Safetica ProcessMonitorDriver - CVE-2026-0828

• 発行元: Safetica Endpoint Client x64。
• ドライバ: ProcessMonitorDriver.sys。
• 影響を受けるバージョン: 10.5.75.0、11.11.4.0。
• 公開: 2026年1月 (KOSECの調査は元々2025年11月)。
• 根本原因: IOCTLハンドラが呼び出し元の特権を検証せず、 終了パス上の入力をサニタイズしない。
• 結果: 非特権の呼び出し元が、保護されたプロセスやシステム上重要な プロセスを含む任意のプロセスを、カーネルコンテキストから終了できる。
• 実世界での利用: 典型的なBYOVDプリミティブ。攻撃者はドライバを投入し、 エンドポイント保護を終了させ、ペイロードへと進む。
• ステータス: 2026年2月時点で、ベンダーパッチは公に確認されていない。CERT VU#818729が2026年1月20日に公開された。

既知のハッシュとミラーは drivers/0xhashes.md にある。 完全なノートは research/0xsafetica-cve-2026-0828.md にある。

ThrottleStop - CVE-2025-7771

MedusaLockerのオペレーターは、TechPowerUpのCPUスロットリングツールの ドライバである ThrottleStop.sys を実際の侵入で兵器化した。これには Kasperskyが2025年8月に分析したブラジルのインシデントも含まれる。これは 直接的なIOCTL killよりも高度なフローである。

• ドライバ: ThrottleStop.sys。攻撃者によって ThrottleBlood.sys に 改名され、TechPowerUpによって2020年のDigiCert EV証明書で署名されている。
• 根本原因: ドライバはアクセスチェックなしで MmMapIoSpace に到達する IOCTLを露出しているため、ユーザーモードの呼び出し元が物理メモリを 読み書きできる。
• フロー、分析のみ:
  1. 改名されたドライバをサービスとしてロードし、\\.\ThrottleStop を開く。
  2. 脆弱なIOCTLを送信する (物理読み取り 0x80006498、書き込み 0x8000649C)。
  3. NtQuerySystemInformation(SystemModuleInformation) を通じて カーネルベースを問い合わせ、KASLRをバイパスする。
  4. 仮想アドレスを物理アドレスに変換する。多くの場合、SuperFetchの 情報リークを通じて行う。
  5. ほとんど使われない関数をフックで上書きする。
  6. そのフックがプロセス検索と終了のパスに到達し、ハードコードされた セキュリティプロセスのリストを kill する。
  7. 元のバイト列を復元し、ランサムウェアを展開する。
• 結果: 保護されたセキュリティプロセスのカーネルレベルの終了。これにより 暗号化が進行できる。
• ステータス: ベンダーは2025年を通じてパッチを準備していた。このドライバは 当初、Microsoftのブロックリストに載っていなかった。

完全なノートは research/0xthrottlestop-medusalocker.md にある。 一次情報源: Kaspersky Securelist、2025年8月。

検出

• ドライバロード: .sys ファイルから作成されたランダムまたは改名された カーネルサービスが、直後に開始されるのを監視する。イベントID 7045、 およびサービス監査が有効な場合は4697。
• デバイスアクセス: 予期しないプロセスから、各ドライバが露出するデバイス名 に対して開かれたハンドル。
• IOCTL: 終了および物理メモリのIOCTLコードを、保護されたセキュリティ プロセスの終了と関連付ける。
• ブロックリスト: Microsoftの脆弱なドライバブロックリストとWDACポリシーを 最新に保つ。これらが適用されている場所ではロードが失敗する。

緩和のノートは docs/0xmitigations.md にある。

安全な偵察

src/0xPoC.c は読み取り専用である。Toolhelp32 APIを通じて実行中の プロセスを列挙し、一般的なセキュリティ製品の名前を出力する。これは最初の 偵察ステップであり、特権的な動作は一切行わない。

# From a Visual Studio Developer Command Prompt
cl.exe /EHsc /W4 src/0xPoC.c
0xPoC.exe

リポジトリ構造

0xKern3lCrush/
|-- README.md
|-- LICENSE
|-- SECURITY.md
|-- src/
|   |-- 0xPoC.c          read-only process enumeration
|   +-- 0xtargets.h      target name list
|-- drivers/
|   +-- 0xhashes.md      artifact hashes and public mirrors
|-- research/
|   |-- 0xbyovd-patterns.md
|   |-- 0xsafetica-cve-2026-0828.md
|   +-- 0xthrottlestop-medusalocker.md
+-- docs/
    +-- 0xmitigations.md

制限事項

• 設計上、動作するエクスプロイトは含まれていない。
• 解説は公開された開示情報と静的解析に基づいている。
• ブロックリストのステータスは特定時点のものであり、時間とともに変化する。
• バージョンの網羅範囲は執筆時点で公開されていたものを反映している。

参考文献

• Safetica ProcessMonitorDriver, CERT VU#818729 (2026-01-20).
• Kaspersky Securelist, AV killer exploiting ThrottleStop.sys (2025-08).
• Microsoft vulnerable driver blocklist.

責任ある使用

本プロジェクトは研究と防御のために存在する。これらのドライバは、あなたが 所有するか、テストを許可されているシステム上でのみ、またロールバック用の スナップショットを備えた隔離環境でのみロードすること。許可なく脆弱な署名済み ドライバをロードしたり、細工されたIOCTLを送信したりすることは、ほとんどの 法域で違法である。