CVE-2026-36425 : OPSWAT AppRemover 任意プロセス終了

署名されたOPSWATカーネルドライバで、要求に応じて任意のプロセスを強制終了します。管理者権限不要、権限チェックなし、問答無用。EDR、アンチウイルス、PPLで保護されたプロセスを指定すると、即座に終了します。3種類の異なる強制終了方法があり、すべてカーネルモードで実行され、任意のローカルユーザーからの単一のIOCTLでトリガーされます。脆弱なドライバのバリアントが16個特定され、すべて有効な署名が付与されています。

⚠️ このリポジトリは教育および研究目的のみです。著者は、提供された情報やツールの誤用について一切の責任を負いません。

📝 ブログ記事： CVE-2026-36425の紹介 | OPSWAT EDR Terminator

ブログ記事では、IDA Proによるドライバの完全なリバースエンジニアリングプロセスを、DriverEntryのセットアップからIOCTLディスパッチチェーンまで詳しく説明し、ドライバが内部で使用する3つの異なるプロセス終了方法を分析しています。また、有名なEDRの1つに対してライブテストを実施し、署名されたドライバを読み込み、エージェントをカーネルモードから強制終了するデモも行っています。

Overview

Description

OPSWAT AppRemover カーネルドライバ (ardrv.sys) は、権限検証なしで任意のローカルユーザーがアクセス可能なデバイスオブジェクト (\\.\ardrv) を公開しています。このドライバのIOCTLハンドラ 0x2420031 は、呼び出し元から指定されたPIDに対して、3つの異なる方法でプロセス終了を実行します：

1. メモリ破壊: KeAttachProcess を介してターゲットプロセスにアタッチし、最初の4096ページを 0xCC (INT3ブレークポイント) で上書きしてクラッシュを強制します。
2. 直接終了: ObOpenObjectByPointer を介してプロセスを開き、高いPID値に対して ZwTerminateProcess を呼び出します。
3. ジョブオブジェクト終了: ジョブオブジェクトを作成し、ターゲットプロセスを割り当て、フォールバックとして ZwTerminateJobObject を介してジョブ全体を終了します。

3つの方法はすべてカーネルコンテキストで実行され、呼び出し元の検証、権限チェック、クリティカルプロセスやPPLプロセスの保護は一切行われません。これはEDR/AVエージェントやその他のセキュリティソフトウェアを終了するために悪用される可能性があります。

Usage

ardrvkiller.exe <PID>

ドライバの読み込み

sc.exe create ardrv binPath="C:\path\to\ardrv_XX.sys" type=kernel
sc.exe start ardrv

プロセスの強制終了

ardrvkiller.exe 1234

脆弱なドライバのバリアント

16個のバリアントが特定され、すべてOPSWATによって署名され、すべて同じ脆弱性を持っています。

Timeline

References

• CVEレコード
• NVD
• ブログ記事

著者

j3h4ck @j3h4ck | linkedin | medium