CVE-2026-36425 : OPSWAT AppRemover 임의 프로세스 종료

요청 시 모든 프로세스를 종료할 수 있는 서명된 OPSWAT 커널 드라이버입니다. 관리자 권한이 필요 없고, 권한 검사도 없으며, 어떤 질문도 하지 않습니다. EDR, 안티바이러스, PPL로 보호된 프로세스를 지정하면 해당 프로세스가 종료됩니다. 세 가지 종료 방법이 모두 커널 모드에서 실행되며, 모든 로컬 사용자의 단일 IOCTL로 트리거됩니다. 16개의 취약한 드라이버 변종이 확인되었으며, 모두 유효하게 서명되었습니다.

⚠️ 이 저장소는 교육 및 연구 목적으로만 제공됩니다. 저자는 제공된 정보나 도구의 오용에 대해 책임을 지지 않습니다.

📝 블로그 게시물: CVE-2026-36425 소개 | OPSWAT EDR Terminator

블로그 게시물에서 우리는 IDA Pro에서 드라이버의 전체 리버스 엔지니어링 과정을 DriverEntry 설정부터 IOCTL 디스패치 체인까지 살펴보고, 드라이버가 내부적으로 사용하는 세 가지 프로세스 종료 방법을 분석합니다. 또한 유명한 EDR 중 하나를 대상으로 서명된 드라이버를 로드하고 커널 모드에서 에이전트를 종료하는 실시간 테스트도 시연합니다.

개요

설명

OPSWAT AppRemover 커널 드라이버(ardrv.sys)는 권한 검증 없이 모든 로컬 사용자가 접근할 수 있는 디바이스 객체(\\.\ardrv)를 노출합니다. 드라이버의 IOCTL 핸들러 0x2420031은 호출자가 제공한 PID에 대해 세 가지 서로 다른 방법으로 프로세스 종료를 수행합니다:

1. 메모리 손상: KeAttachProcess를 통해 대상 프로세스에 연결하고 처음 4096개 페이지를 0xCC(INT3 중단점)로 덮어써서 크래시를 강제합니다.
2. 직접 종료: ObOpenObjectByPointer를 통해 프로세스를 열고 높은 PID 값에 대해 ZwTerminateProcess를 호출합니다.
3. Job 객체 종료: Job Object를 생성하고 대상 프로세스를 할당한 다음, 대체 수단으로 ZwTerminateJobObject를 통해 전체 Job을 종료합니다.

세 가지 방법 모두 호출자 검증, 권한 검사가 없으며 중요 프로세스나 PPL 프로세스에 대한 보호 장치도 없는 커널 컨텍스트에서 실행됩니다. 이는 EDR/AV 에이전트 및 기타 보안 소프트웨어를 종료하는 데 악용될 수 있습니다.

사용 방법

ardrvkiller.exe <PID>

드라이버 로드

sc.exe create ardrv binPath="C:\path\to\ardrv_XX.sys" type=kernel
sc.exe start ardrv

프로세스 종료

ardrvkiller.exe 1234

취약한 드라이버 변종

16개 변종이 확인되었으며, 모두 OPSWAT가 서명했고 모두 동일한 취약점을 공유합니다.

타임라인

참고 자료

• CVE 레코드
• NVD
• 블로그 게시물

작성자

j3h4ck @j3h4ck | linkedin | medium