0xKern3lCrush

두 가지 실제 사례에 대한 Windows BYOVD 연구: Safetica ProcessMonitorDriver (CVE-2026-0828)와 MedusaLocker가 악용한 ThrottleStop 드라이버 (CVE-2025-7771). 이 저장소는 노출된 인터페이스, 각 인터페이스가 도달하는 권한 있는 결과, 그리고 악용을 탐지하는 방법을 문서화한다. 안전한 사용자 모드 정찰만 제공한다: 커널 모드 코드 없음, IOCTL 호출 없음, 프로세스 종료 루틴 없음.

0xKern3lCrush란 무엇인가?

엔드포인트 보호 솔루션은 점점 더 자체 프로세스를 보호 수준과 제한된 토큰으로 보호하고 있어, 공격자들은 Bring Your Own Vulnerable Driver를 사용해 커널로 전장을 옮기고 있다. 그들은 합법적이지만 취약한 서명된 드라이버를 투하하고, 취약한 IOCTL 핸들러를 호출하여 임의 프로세스 종료나 임의 메모리 읽기/쓰기와 같은 커널 프리미티브에 도달한다.

이 저장소는 두 가지 공개 사례에서 이러한 패턴을 연구하고 각각을 탐지 및 강화 자료로 전환한다.

이 저장소는 연구이며 무기가 아니다. 동작하는 익스플로잇과 커널 모드 코드를 포함하지 않는다.

이것이 중요한 이유

Safetica와 ThrottleStop 사례는 이론적이지 않다. ThrottleStop.sys는 MedusaLocker 운영자들에 의해 실제 침해에서 무기화되었으며, 이 패턴은 2024년에서 2026년 사이에 악용된 수십 개의 서명된 드라이버에 걸쳐 일반화된다. 커널 프로세스 종료나 커널 메모리 쓰기에 도달하는 드라이버는 페이로드가 도착하기 전에 엔드포인트 보호를 침묵시킬 수 있는 직접적인 경로다.

연구 기여

여기서의 기여는 각 사례에 대한 명확하고 재현 가능한 분석과 그로부터 따르는 방어 자료다:

• 각 드라이버에 대해 노출된 디바이스 및 IOCTL 표면
• 각 핸들러의 근본 원인
• 권한 있는 결과와 그 실제 사용
• 드라이버 아티팩트 해시 및 공개 연구 미러
• 탐지 및 완화 지침

Safetica ProcessMonitorDriver - CVE-2026-0828

• 게시자: Safetica Endpoint Client x64.
• 드라이버: ProcessMonitorDriver.sys.
• 영향받는 버전: 10.5.75.0, 11.11.4.0.
• 공개: 2026년 1월 (KOSEC 연구는 원래 2025년 11월).
• 근본 원인: IOCTL 핸들러가 호출자 권한을 검증하지 않고 종료 경로에서 입력을 정제하지 않는다.
• 결과: 권한 없는 호출자가 커널 컨텍스트에서 보호된 프로세스와 시스템 중요 프로세스를 포함한 임의 프로세스를 종료할 수 있다.
• 실제 사용: 전형적인 BYOVD 프리미티브. 공격자는 드라이버를 투하하고, 엔드포인트 보호를 종료한 후 페이로드를 진행한다.
• 상태: 2026년 2월 기준으로 공개적으로 확인된 벤더 패치 없음. CERT VU#818729는 2026년 1월 20일에 게시되었다.

알려진 해시와 미러는 drivers/0xhashes.md에 있다. 전체 노트는 research/0xsafetica-cve-2026-0828.md에 있다.

ThrottleStop - CVE-2025-7771

MedusaLocker 운영자들은 TechPowerUp CPU 스로틀링 도구의 드라이버인 ThrottleStop.sys를 실제 침해에서 무기화했으며, 여기에는 2025년 8월 Kaspersky가 분석한 브라질 사건도 포함된다. 이는 직접적인 IOCTL 킬보다 더 발전된 흐름이다.

• 드라이버: ThrottleStop.sys, 공격자들에 의해 ThrottleBlood.sys로 이름이 변경됨, TechPowerUp이 2020년 DigiCert EV 인증서로 서명.
• 근본 원인: 드라이버가 접근 검사 없이 MmMapIoSpace에 도달하는 IOCTL을 노출하므로, 사용자 모드 호출자가 물리 메모리를 읽고 쓸 수 있다.
• 흐름, 분석 전용:
  1. 이름이 변경된 드라이버를 서비스로 로드하고 \\.\ThrottleStop을 연다.
  2. 취약한 IOCTL을 전송한다 (물리 읽기 0x80006498, 쓰기 0x8000649C).
  3. NtQuerySystemInformation(SystemModuleInformation)을 통해 커널 베이스를 조회하여 KASLR을 우회한다.
  4. 가상 주소를 물리 주소로 변환하며, 종종 SuperFetch 정보 유출을 통해 수행한다.
  5. 거의 사용되지 않는 함수를 훅으로 덮어쓴다.
  6. 훅이 프로세스 조회 및 종료 경로에 도달하여 하드코딩된 보안 프로세스 목록을 종료한다.
  7. 원본 바이트를 복원하고 랜섬웨어를 배포한다.
• 결과: 보호된 보안 프로세스의 커널 수준 종료로, 암호화가 진행될 수 있게 한다.
• 상태: 벤더는 2025년 내내 패치를 준비하고 있었으며, 드라이버는 처음에 Microsoft 차단 목록에 없었다.

전체 노트는 research/0xthrottlestop-medusalocker.md에 있다. 주요 출처: Kaspersky Securelist, 2025년 8월.

탐지

• 드라이버 로드: .sys 파일로 생성된 무작위 또는 이름이 변경된 커널 서비스가 즉시 시작되는 것을 감시한다. 이벤트 ID 7045 및 서비스 감사가 활성화된 경우 4697.
• 디바이스 접근: 예상치 못한 프로세스에서 각 드라이버가 노출하는 디바이스 이름에 열린 핸들.
• IOCTL: 종료 및 물리 메모리 IOCTL 코드를 보호된 보안 프로세스의 프로세스 종료와 연관시킨다.
• 차단 목록: Microsoft 취약 드라이버 차단 목록과 WDAC 정책을 최신으로 유지한다; 이들이 적용되는 곳에서는 로드가 실패한다.

완화 노트는 docs/0xmitigations.md에 있다.

안전한 정찰

src/0xPoC.c는 읽기 전용이다. Toolhelp32 API를 통해 실행 중인 프로세스를 열거하고 일반적인 보안 제품의 이름을 출력한다. 이는 첫 번째 정찰 단계이며 권한 있는 작업을 수행하지 않는다.

# From a Visual Studio Developer Command Prompt
cl.exe /EHsc /W4 src/0xPoC.c
0xPoC.exe

저장소 구조

0xKern3lCrush/
|-- README.md
|-- LICENSE
|-- SECURITY.md
|-- src/
|   |-- 0xPoC.c          read-only process enumeration
|   +-- 0xtargets.h      target name list
|-- drivers/
|   +-- 0xhashes.md      artifact hashes and public mirrors
|-- research/
|   |-- 0xbyovd-patterns.md
|   |-- 0xsafetica-cve-2026-0828.md
|   +-- 0xthrottlestop-medusalocker.md
+-- docs/
    +-- 0xmitigations.md

한계

• 설계상 동작하는 익스플로잇은 포함되지 않는다.
• 분석은 공개된 정보와 정적 분석을 기반으로 한다.
• 차단 목록 상태는 특정 시점의 스냅샷이며 시간이 지나면 변한다.
• 버전 범위는 작성 시점에 공개된 내용을 반영한다.

참고 자료

• Safetica ProcessMonitorDriver, CERT VU#818729 (2026-01-20).
• Kaspersky Securelist, AV killer exploiting ThrottleStop.sys (2025-08).
• Microsoft vulnerable driver blocklist.

책임 있는 사용

이 프로젝트는 연구와 방어를 위해 존재한다. 이 드라이버들은 자신이 소유하거나 테스트 권한이 있는 시스템에서만, 그리고 롤백할 스냅샷이 있는 격리된 환경에서만 로드해야 한다. 권한 없이 취약한 서명된 드라이버를 로드하거나 조작된 IOCTL을 전송하는 것은 대부분의 관할권에서 불법이다.