CVE-2026-36425 : OPSWAT AppRemover Terminação Arbitrária de Processos

Um driver de kernel assinado da OPSWAT que mata qualquer processo sob demanda. Sem necessidade de direitos de administrador, sem verificações de privilégio, sem perguntas. Aponte para um EDR, um antivírus, um processo protegido por PPL e ele morre. Três métodos de eliminação diferentes, todos executados em modo kernel, todos acionados por um único IOCTL de qualquer usuário local. 16 variantes de driver vulneráveis identificadas, todas validamente assinadas.

⚠️ Este repositório é apenas para fins educacionais e de pesquisa. O autor não se responsabiliza por qualquer uso indevido das informações ou ferramentas fornecidas.

📝 Postagem no Blog: Apresentando o CVE-2026-36425 | OPSWAT EDR Terminator

Na postagem do blog, percorremos todo o processo de engenharia reversa do driver no IDA Pro, desde a configuração do DriverEntry até a cadeia de despacho do IOCTL, e detalhamos os três métodos diferentes de terminação de processos que o driver usa internamente. Também demonstramos um teste ao vivo contra um dos famosos EDRs, carregando o driver assinado e terminando o agente do modo kernel.

Overview

Descrição

O driver de kernel do OPSWAT AppRemover (ardrv.sys) expõe um objeto de dispositivo (\\.\ardrv) que é acessível a qualquer usuário local sem validação de privilégio. O manipulador de IOCTL 0x2420031 do driver realiza a terminação de processo em um PID fornecido pelo chamador usando três métodos distintos:

1. Corrupção de memória : anexa-se ao processo alvo via KeAttachProcess e sobrescreve as primeiras 4096 páginas com 0xCC (breakpoints INT3), forçando uma falha.
2. Terminação direta : abre o processo via ObOpenObjectByPointer e chama ZwTerminateProcess para valores altos de PID.
3. Terminação de objeto de trabalho : cria um Job Object, atribui o processo alvo a ele e termina todo o trabalho via ZwTerminateJobObject como fallback.

Todos os três métodos executam em contexto de kernel sem validação do chamador, sem verificações de privilégio e sem proteção para processos críticos ou PPL. Isso pode ser abusado para terminar agentes de EDR/AV e outros softwares de segurança.

Uso

ardrvkiller.exe <PID>

Carregar o driver

sc.exe create ardrv binPath="C:\path\to\ardrv_XX.sys" type=kernel
sc.exe start ardrv

Matar um processo

ardrvkiller.exe 1234

Variantes de Driver Vulneráveis

16 variantes identificadas, todas assinadas pela OPSWAT, todas compartilhando a mesma vulnerabilidade.

Cronograma

Referências

• Registro CVE
• NVD
• Postagem no Blog

autor

j3h4ck @j3h4ck | linkedin | medium