💀 0xKern3lCrush-M4te-CVE-2026-0828

Windows BYOVD 研究 & エンドポイント偵察ノート

厳密に教育 / セキュリティ研究用リポジトリ。
目的: 公開情報を通じて Bring-Your-Own-Vulnerable-Driver (BYOVD) 手法を文書化し理解すること — 動作するエクスプロイトは一切含まれていません。

このリポジトリには以下が含まれます:

• 安全なユーザーモード偵察コード (Toolhelp32 API によるプロセス列挙)
• 実際の BYOVD 事例に関する静的解析成果物とメモ
• カーネルモードコード、IOCTL 呼び出しロジック、プロセス終了ルーチンは一切含まれません

⚠️ 重大な倫理的・法的警告 (最初に必ずお読みください)

• このリポジトリはエクスプロイト配信メカニズムではありません。
• 隔離された VM + スナップショットロールバックなしで、いかなるシステムでも同梱のドライバサンプルをロードしないでください — ラボであっても同様です。
• 明示的な許可なしに脆弱な署名済みドライバをロードしたり、悪意のある IOCTL を送信することは、ほとんどの国で重罪 (コンピュータ詐欺/不正アクセスなど) です。
• 所有しているシステム、または書面による許可を得たシステムのみで使用してください。
• 「研究」活動であっても、マシンを文鎮化したり、OS インストールを破損したり、取り返しのつかない EDR アラートを発生させる可能性があります。

動機

EDR/AV 製品は自らのプロセス (PPL、protected process light、制限付きトークン) をますます保護するようになっています。
攻撃者は BYOVD で回避します: 正当だが脆弱な署名済みドライバをドロップ → 脆弱な IOCTL ハンドラを悪用 → カーネルレベルの任意プロセス強制終了 / メモリ読み書きなどを達成します。

このリポジトリはレッド/ブルーチームを支援します:

• マルウェア (MedusaLocker、Qilin、Storm-2603 など) における BYOVD パターンを発見する
• 脆弱なドライバ設計の欠陥を理解する
• より良い検出 (ドライバブロックリスト、WDAC ルール、IOCTL 監視) を構築する

主要ファイル

• src/0xPoC.c
  安全な読み取り専用のプロセス列挙 — 一般的な EDR/AV/EDR サービス名を一覧表示します。仮想的な高度なテクニックの前の最初の偵察ステップです。

• drivers/0xhashes.md
  成果物識別 — SHA256 検証と公開研究ミラーへのリンクを含みます。このリポジトリはバイナリドライバをホストしません。

研究事例: CVE-2026-0828 — Safetica ProcessMonitorDriver.sys

• 公開: 2026年1月 (KOSEC 研究は元々2025年11月)
• ドライバ: ProcessMonitorDriver.sys (Safetica Endpoint Client x64)
• 影響を受けるバージョン: 10.5.75.0, 11.11.4.0
• 既知のハッシュ → drivers/0xhashes.md を参照
• 脆弱性: 特権のないユーザーが公開された IOCTL ハンドラを悪用して任意のプロセス (保護された/システムクリティカルなものを含む) を終了できる
• 根本原因: 呼び出し元の特権検証の欠如 + IOCTL パスでの不適切な入力サニタイズ
• 影響: カーネルレベルのプロセス終了 (PsTerminateProcess スタイル) → Safetica DLP/監視の盲目化 → データ流出、ランサムウェアの準備
• 実世界の背景: 古典的な BYOVD プリミティブ — 攻撃者がドライバをドロップ → EDR を殺す → ペイロードを実行
• ステータス: 2026年2月時点でベンダーパッチが公開確認されていません。CERT VU#818729 が2026年1月20日に公開されました。

詳細なメモ → research/0xsafetica-cve-2026-0828.md

研究事例: CVE-2025-7771 — MedusaLocker ランサムウェアによる ThrottleStop.sys の悪用

MedusaLocker (2019年から続く RaaS) の運営者は、実際の攻撃で ThrottleStop.sys (TechPowerUp の CPU スロットリングツールドライバ) を武器化しており、特にブラジルのインシデント (Kaspersky 分析、2025年8月) が有名です。これは単純な IOCTL キルと比較してより高度な BYOVD フローを示しています。

• ドライバ: ThrottleStop.sys (攻撃者により ThrottleBlood.sys にリネーム)、TechPowerUp によって署名 (DigiCert EV、2020年証明書)
• 脆弱性: CVE-2025-7771 — MmMapIoSpace を介した任意の物理メモリ読み書きを許可する IOCTL を公開。適切なアクセスチェックがない → ユーザーモードアプリがカーネルメモリにパッチを当て、リング0関数を呼び出せる。
• エクスプロイトフロー (概念/分析のみ):
  1. リネームしたドライバ (ThrottleBlood.sys) をサービスとしてロード → デバイス \\.\ThrottleStop を作成
  2. ユーザーモードツール (All.exe など) を使用して脆弱な IOCTL を送信 (例: コード 0x80006498 読み取り / 0x8000649C 書き込み)
  3. KASLR 回避: NtQuerySystemInformation(SystemModuleInformation) でカーネルベースを取得
  4. 仮想アドレス → 物理アドレス変換 (多くの場合 SuperFetch 情報漏洩テクニックによる)
  5. カーネルメモリ読み書き → 使用頻度の低い関数 (例: NtAddAtom) をシェルコードフックで上書き
  6. フックが PsLookupProcessById + PsTerminateProcess にジャンプ → AV/EDR プロセスを大量キル (ハードコードリスト: MsMpEng.exe, CSFalconService.exe, ekrn.exe など)
  7. 元のコードを復元してクラッシュを回避 → MedusaLocker 亜種を展開
• 影響: 保護されたプロセスのカーネルゴッドモードでの終了 → CrowdStrike、Bitdefender、Kaspersky、McAfee、Defender などを無効化 → ランサムウェア暗号化が成功。

詳細な技術的解説 → research/0xthrottlestop-medusalocker.md
一次情報源: Kaspersky Securelist (2025年8月) — https://securelist.com/av-killer-exploiting-throttlestop-sys/117026/

その他の事例

より広範な BYOVD の傾向 → 2024年から2026年にかけて悪用された数十の署名済み脆弱ドライバ (research/0xbyovd-patterns.md を参照)

ビルド & 実行 (安全な偵察のみ)

# From Developer Command Prompt (VS)
cl.exe /EHsc /W4 src/0xPoC.c
0xPoC.exe