cwjchoi01/cve-2026-3796# CVE-2026-3796 PoC 익스플로잇 취약한 QAX 드라이버를 통한 임의 프로세스 종료를 시연하는 CVE-2026-3796용 개념 증명 익스플로잇입니다. 사용 지침이 포함되어 있으며 교육 및 연구 목적으로 제작되었습니다.
2025-10-22 및 이전 버전의 QAX Virus Removal에서, 영향을 받는 드라이버 QKSecureIO_Imp.sys는 호출 프로세스의 이미지를 기반으로 미니 필터 드라이버와 통신할 수 있는지 여부를 결정합니다. 공격자는 DLL 사이드로딩, 프로세스 인젝션과 같은 기법을 통해 합법적인 호출 프로세스 이미지를 가장하여 특정 페이로드가 포함된 메시지를 미니 필터에 보내고, 보호된 프로세스와 같은 임의의 프로세스를 종료할 수 있습니다.
이 애플리케이션은 바이러스 제거에 사용됩니다. 애플리케이션 드라이버의 가져온 함수 중 하나는 ZwTerminateProcess로, 종료할 프로세스에 대한 검사가 부족하여 임의의 프로세스 종료가 가능합니다. 또한 드라이버는 호출 프로세스의 신원에 대한 간단한 검사를 수행하지만, DLL 사이드로딩과 같은 기법을 사용하여 우회할 수 있습니다.
x86으로 컴파일합니다.C:\Windows\system32\drivers에 배치합니다.set pid=<종료할_대상_pid>를 실행합니다.참고: 취약한 드라이버는 이 프로젝트에 포함되지 않습니다.
이 도구는 교육 및 연구 목적으로만 사용됩니다. 소유한 시스템이나 명시적 테스트 허가를 받은 시스템에서만 사용하십시오. 저자는 이 프로그램으로 인한 오용이나 손해에 대해 책임을 지지 않습니다.
