SamTimer

삼성 Galaxy 기기용 원탭 Android 루팅으로, CVE-2026-98260 타이머 익스플로잇(posix-cpu-timers UAF)과 삼성 KDP/RKP/DEFEX 호환성을 갖춘 KernelSU-Next 레이트 로드 모듈을 기반으로 합니다.

CVE-2026-98260-aurora 저장소를 기반으로 합니다 — 해당 저장소의 타이머 LPE 포팅(real-cred 제로 쓰기 / fake-cred ksud 레이트 로드 체인)이 app/src/main/cpp/timer.c의 발전 기반이 되었습니다.

[!WARNING] 본인이 소유하거나 명시적으로 테스트 권한을 받은 기기에서만 사용하십시오. 이 익스플로잇은 확률적 커널 UAF입니다 — 실행에 실패하면 다음 재부팅 전까지 시스템이 불안정해질 수 있습니다. 재부팅하면 항상 휴대폰이 깨끗한, 루팅되지 않은 상태로 복원됩니다.

개요

익스플로잇	CVE-2026-98260 (timer.c 페이로드, Gradle로 빌드)
루트 모듈	KernelSU-Next 3.4.2 (ksud-next-generic-kdp, android14-6.1 no-patch-text)
실행 컨텍스트	Shizuku 셸 (uid 2000)
su 인가	KernelSU-Next 매니저 (com.rifsxd.ksunext), 도메인 u:r:ksu:s0
루트 지속 시간	부팅당 (일시적 — 재부팅 시 해제됨)

SM-S921N(e1s, Exynos 2400), 커널 6.1.162-android14-11, OneUI 9에서 테스트되었습니다.

기능

• Material 3 Compose UI (영어 / 한국어, 시스템 로케일을 따름)
• 실시간 루트 배지 — 몇 초마다 로드된 KernelSU 모듈을 감지
• 매 실행 전 확인 대화상자; 이미 루팅된 경우에도 재루팅 버튼이 계속 사용 가능
• 재부팅 후 자동 루팅 — 부팅 리시버 → WorkManager 체인으로 Shizuku를 기다린 뒤 진행 알림과 함께 헤드리스로 체인을 실행; 실행 실패 시 해당 옵션이 자동으로 비활성화됨 (부팅 루프 방지)
• 익스플로잇 페이로드는 Gradle이 자동으로 컴파일 — assembleDebug는 항상 최신 바이너리를 포함

요구 사항

1. Shizuku 실행 중 (무선 디버깅). 자동 루팅의 경우: Shizuku의 부팅 자동 시작을 활성화하고 SamTimer에 권한을 한 번 부여하십시오.
2. KernelSU-Next 매니저 (com.rifsxd.ksunext) 설치됨 — su는 매니저가 인가한 앱에만 부여됩니다.

빌드

./gradlew assembleDebug
# APK: app/build/outputs/apk/debug/app-debug.apk

• app/src/main/cpp/timer.c는 buildPayload 태스크에 의해 app/src/main/jniLibs/arm64-v8a/libtimer.so로 컴파일됩니다 (NDK는 자동 감지됩니다: ANDROID_NDK_HOME → local.properties → SDK → ~/android-ndk-r27c)
• libksud.so는 미리 빌드된 KernelSU-Next late-load 데몬입니다
• ./gradlew clean은 생성된 페이로드를 포함한 모든 출력물을 제거합니다 (미리 빌드된 libksud.so는 유지됩니다)

사용법

1. Shizuku를 시작하고 SamTimer를 엽니다
2. Root now를 탭 → 확인 → 1–7분 대기
3. KernelSU-Next 관리자에서 앱에 su를 부여합니다
4. 선택적으로 Auto-root after reboot를 활성화합니다

체인

1. timer.c는 kmem 트레이스를 통해 자식 cred를 유출하고, DEFEX creds_hash 슬롯을 지우고, 위조된 uid-0 cred를 설치합니다 (selinux_state 쓰기는 -7에 위치하므로 initialized가 살아남습니다 — 오프셋 0에 8바이트 0을 쓰면 policy-loaded 플래그가 죽고 모든 프로퍼티 쓰기가 깨집니다)
2. root 워커는 u:r:init:s0을 채택하고, 프라이빗 마운트 네임스페이스 내에서 ksud를 /system/bin/logcat 위에 바인드하며(KDP 안전 exec), late-load --package-name com.rifsxd.ksunext를 실행합니다
3. KernelSU-Next가 로드되고(no-patch-text 빌드 — 라이브 텍스트 패칭은 Exynos 2400에서 패닉을 일으킴), SELinux는 ksud에 의해 enforcing으로 복원됩니다
4. 성공 여부는 KSU 드라이버의 reboot() 백도어 ioctl을 통해 검증됩니다
5. 실패한 plant 좀비는 재부팅까지 파킹된 홀더 프로세스에 의해 reap되지 않은 채로 유지됩니다(이들을 reap하면 라이브 커널 메모리가 손상됩니다 — 살려두세요)

크레딧 / 업스트림

• CVE-2026-98260-aurora — 이 앱은 aurora 저장소의 timer LPE 포팅을 기반으로 구축되었습니다: timer.c 페이로드(실제 cred 제로 쓰기 및 가짜 cred / ksud late-load 체인)가 여기서 시작되어 이 프로젝트에 app/src/main/cpp/timer.c로 존재합니다
• BuSung-dev/Root-My-Galaxy — 이 앱이 미러링하는 검증된 삼성 KSU late-load 플로우(su_daemon.c 형태, .ksud-stage 스테이징, 관리자 페어링)
• BuSung-dev/Root-My-Galaxy-Payloads — 타깃별 ksud/kernelsu.ko 쌍 및 삼성 KDP/RKP/DEFEX 포팅 방법론(정확한 릴리스 vermagic, Exynos용 no-patch-text)
• rushiranpise/Root-My-Galaxy-Payloads — KernelSU 3.2.5–3.4.2, KernelSU-Next 및 ReSukiSU용 삼성 델타 패치; 여기서 사용된 ksud-next-generic-kdp(KernelSU-Next 3.4.2)
• tiann/KernelSU · KernelSU-Next/KernelSU-Next — 루트 모듈 계보
• DirtyFrag (CVE-2026-43284, DFRoot 계보) — autorun / failed-run-interlock 패턴
• Shizuku — PC 없이 shell-uid 실행

면책 조항

사용에 따른 책임은 본인에게 있습니다. 저자는 데이터 손실, 벽돌이 된 기기, 또는 이 도구를 적용한 하드웨어에서 발생하는 그 밖의 어떤 일에도 책임을 지지 않습니다.