0xKern3lCrush

Pesquisa de BYOVD no Windows sobre dois casos reais: o Safetica ProcessMonitorDriver (CVE-2026-0828) e o driver ThrottleStop abusado pelo MedusaLocker (CVE-2025-7771). O repositório documenta as interfaces expostas, o resultado privilegiado que cada uma alcança e como detectar o abuso. Ele traz apenas reconhecimento seguro em modo usuário: nenhum código em modo kernel, nenhuma invocação de IOCTL e nenhuma rotina de encerramento de processos.

O que é o 0xKern3lCrush?

A proteção de endpoint protege cada vez mais seus próprios processos com níveis de proteção e tokens restritos, então os atacantes levam a disputa para o kernel com Bring Your Own Vulnerable Driver. Eles implantam um driver assinado legítimo, porém vulnerável, chamam um manipulador de IOCTL fraco e alcançam uma primitiva de kernel como encerramento arbitrário de processos ou leitura e escrita arbitrária de memória.

Este repositório estuda esse padrão em dois casos públicos e transforma cada um em material de detecção e hardening.

O repositório é um estudo, não uma arma. Ele não contém exploit funcional nem código em modo kernel.

Por que isso importa

Os casos Safetica e ThrottleStop não são teóricos. O ThrottleStop.sys foi transformado em arma por operadores do MedusaLocker em intrusões reais, e o padrão se generaliza por dezenas de drivers assinados abusados entre 2024 e 2026. Um driver que alcança encerramento de processos no kernel ou escrita em memória do kernel é um caminho direto para silenciar a proteção de endpoint antes que um payload seja implantado.

Contribuição da pesquisa

A contribuição aqui é um writeup claro e reproduzível de cada caso e o material defensivo que dele decorre:

• a superfície exposta de dispositivo e IOCTL para cada driver
• a causa raiz em cada manipulador
• o resultado privilegiado e seu uso no mundo real
• hashes de artefatos de driver e espelhos públicos de pesquisa
• orientações de detecção e mitigação

Safetica ProcessMonitorDriver - CVE-2026-0828

• Publicador: Safetica Endpoint Client x64.
• Driver: ProcessMonitorDriver.sys.
• Versões afetadas: 10.5.75.0, 11.11.4.0.
• Publicado: janeiro de 2026 (pesquisa KOSEC originalmente em novembro de 2025).
• Causa raiz: o manipulador de IOCTL não valida o privilégio do chamador e não sanitiza a entrada no caminho de encerramento.
• Resultado: um chamador sem privilégios pode encerrar processos arbitrários, incluindo processos protegidos e críticos do sistema, a partir do contexto do kernel.
• Uso no mundo real: uma primitiva BYOVD clássica. O atacante implanta o driver, encerra a proteção de endpoint e prossegue com o payload.
• Status: nenhum patch do fornecedor confirmado publicamente até fevereiro de 2026. O CERT VU#818729 foi publicado em 20 de janeiro de 2026.

Hashes conhecidos e espelhos estão em drivers/0xhashes.md. As notas completas estão em research/0xsafetica-cve-2026-0828.md.

ThrottleStop - CVE-2025-7771

Operadores do MedusaLocker transformaram em arma o ThrottleStop.sys, o driver da ferramenta de limitação de CPU da TechPowerUp, em intrusões reais, incluindo um incidente brasileiro analisado pela Kaspersky em agosto de 2025. É um fluxo mais avançado do que um kill direto por IOCTL.

• Driver: ThrottleStop.sys, renomeado para ThrottleBlood.sys pelos atacantes, assinado pela TechPowerUp com um certificado EV DigiCert de 2020.
• Causa raiz: o driver expõe IOCTLs que alcançam MmMapIoSpace sem verificação de acesso, então um chamador em modo usuário pode ler e escrever memória física.
• Fluxo, apenas análise:
  1. Carregar o driver renomeado como serviço e abrir \\.\ThrottleStop.
  2. Enviar os IOCTLs vulneráveis (leitura física 0x80006498, escrita 0x8000649C).
  3. Contornar o KASLR consultando a base do kernel através de NtQuerySystemInformation(SystemModuleInformation).
  4. Traduzir virtual para físico, muitas vezes através de um vazamento de informações do SuperFetch.
  5. Sobrescrever uma função raramente usada com um hook.
  6. O hook alcança o caminho de busca e encerramento de processos e mata uma lista fixa de processos de segurança.
  7. Restaurar os bytes originais e implantar o ransomware.
• Resultado: encerramento em nível de kernel de processos de segurança protegidos, o que permite que a criptografia prossiga.
• Status: o fornecedor estava preparando um patch ao longo de 2025; o driver não estava na blocklist da Microsoft no início.

As notas completas estão em research/0xthrottlestop-medusalocker.md. Fonte primária: Kaspersky Securelist, agosto de 2025.

Detecção

• Carregamento de driver: fique atento a um serviço de kernel aleatório ou renomeado criado a partir de um arquivo .sys seguido imediatamente por uma inicialização. Event ID 7045 e, com auditoria de serviços ativada, 4697.
• Acesso ao dispositivo: handles abertos nos nomes de dispositivo que cada driver expõe, a partir de um processo inesperado.
• IOCTL: os códigos de IOCTL de encerramento e de memória física, correlacionados com o encerramento de processos de segurança protegidos.
• Blocklist: mantenha a blocklist de drivers vulneráveis da Microsoft e sua política WDAC atualizadas; o carregamento falha onde elas são aplicadas.

As notas de mitigação estão em docs/0xmitigations.md.

Reconhecimento seguro

src/0xPoC.c é somente leitura. Ele enumera processos em execução através das APIs Toolhelp32 e imprime os nomes de produtos de segurança comuns. É a primeira etapa de reconhecimento e não realiza nenhuma ação privilegiada.

# From a Visual Studio Developer Command Prompt
cl.exe /EHsc /W4 src/0xPoC.c
0xPoC.exe

Estrutura do repositório

0xKern3lCrush/
|-- README.md
|-- LICENSE
|-- SECURITY.md
|-- src/
|   |-- 0xPoC.c          read-only process enumeration
|   +-- 0xtargets.h      target name list
|-- drivers/
|   +-- 0xhashes.md      artifact hashes and public mirrors
|-- research/
|   |-- 0xbyovd-patterns.md
|   |-- 0xsafetica-cve-2026-0828.md
|   +-- 0xthrottlestop-medusalocker.md
+-- docs/
    +-- 0xmitigations.md

Limitações

• Nenhum exploit funcional está incluído, por design.
• Os writeups são baseados em divulgações públicas e análise estática.
• O status da blocklist é específico de um momento e muda com o tempo.
• A cobertura de versões reflete o que era público no momento da escrita.

Referências

• Safetica ProcessMonitorDriver, CERT VU#818729 (2026-01-20).
• Kaspersky Securelist, AV killer exploiting ThrottleStop.sys (2025-08).
• Microsoft vulnerable driver blocklist.

Uso responsável

Este projeto existe para pesquisa e defesa. Carregue esses drivers apenas em sistemas que você possui ou está autorizado a testar, e apenas em um ambiente isolado com um snapshot para o qual possa reverter. Carregar um driver assinado vulnerável ou enviar um IOCTL criado sem autorização é ilegal na maioria das jurisdições.