RegPwn BOF（Brute Ratel C4 用）

RegPwn エクスプロイトの Filip Dragovic（@Wh04m1001）/ MDSec ActiveBreach によるポート実装を、私が Brute Ratel C4 の BOF として再実装したものです。

これは、Flangvik による CS BOF 再実装（元の C# エクスプロイトの再実装）を、より雑に BRc4 の BOF として再実装したものです。脆弱性の研究とエクスプロイトに関するすべての功績は、引き続き Filip Dragovic 氏と MDSec に帰属します。

• Flangvik の CS BOF 再実装: https://github.com/Flangvik/RegPwnBOF
• ブログ記事: https://www.mdsec.co.uk/2026/03/rip-regpwn/
• 元のリポジトリ: https://github.com/mdsecactivebreach/RegPwn
• CVE: CVE-2026-24291

機能

Windows のアクセシビリティ ATConfig メカニズムにおけるレジストリシンボリックリンクの競合状態を悪用し、通常ユーザーコンテキストから保護された HKLM レジストリキーに任意の値を書き込みます（ローカル権限昇格）。

対象は Windows 11 25H2/24H2、Windows 10 21H2、および Windows Server 2016/2019/2022 の 2026年3月パッチ適用前 のバージョンです。

警告: このエクスプロイトは、競合状態の一部としてワークステーションをロックします。

デフォルトのターゲット

msiserver（Windows インストーラ）サービスの ImagePath。このサービスは SYSTEM として実行され、通常ユーザーでも起動できます。

使用方法

Brute Ratel C4

badger> coffexec c:\maldev\projects\RegPwnBRc4BOF\regpwn.x64.o C:\JustAnotherPath\badger.exe SYSTEM\ControlSet001\Services\msiserver ImagePath

ビルド

x86_64-w64-mingw32-gcc（MinGW-w64 クロスコンパイラ）が必要です。

make        # BOF をビルド（regpwn.x64.o）
make test   # スタンドアロン EXE をビルド（regpwn.x64.exe）
make clean

x64 のみ対応。