Copy Fail -- CVE-2026-31431

Implementação C endurecida para operações de redteam e testes de penetração autorizados.

⚠️ Aviso Legal: Esta ferramenta destina-se exclusivamente a pesquisas de segurança autorizadas, testes de penetração autorizados e análises defensivas. Utilize apenas em sistemas que você possui ou para os quais tenha permissão explícita por escrito para testar. O acesso não autorizado a sistemas de computador é ilegal.

🚀 Desenvolvimento primário movido para GitLab.
Este repositório é mantido ativamente aqui. Para problemas e contribuições, use o GitLab.

Visão Geral

Este projeto é uma porta C endurecida e pronta para produção do exploit de escalonamento de privilégio local CVE-2026-31431 ("Copy Fail"), originalmente divulgado por Theori e Xint em 29 de abril de 2026.

O proof-of-concept original foi escrito em Python e projetado para demonstração de pesquisa. Esta implementação o transforma em um kit de ferramentas de nível redteam com:

Zero artefatos em disco (execução sem arquivos baseada em memfd)
Descoberta automática de alvos (enumeração de binários setuid com consciência MAC)
Anti-forense (remoção de cache, restauração de timestamps, autodestruição)
Controle do operador (execução acionada por sinal com timeouts configuráveis)
Compilações estáticas multiplataforma (x86_64, ARM64, RISC-V via musl/zig)

Pesquisa Original

CVE-2026-31431: Copy Fail

Atributo	Valor
Data de Divulgação	29 de abril de 2026
Pesquisadores	Theori (Jinoh Kang, Yonghwi Jin, Seunghyun Lee), Xint
Artigo	https://copy.fail/
PoC Original	theori-io/copy-fail-CVE-2026-31431 (Python)
Porta C (Base)	tgies/copy-fail-c por Tony Gies
Kernels Afetados	Linux 4.14 -- 6.14 (antes do commit de correção `a664bf3d603d`)
Severidade	CVSS 7,8 (Alta) -- Escalonamento de Privilégio Local

Mecanismo da Vulnerabilidade

A vulnerabilidade reside no subsistema criptográfico AF_ALG do kernel Linux. O template AEAD authencesn implementa uma otimização in-place para descriptografia: quando o texto cifrado é fornecido via splice() a partir do cache de páginas de um arquivo, o kernel reutiliza a mesma página como fonte e destino.

O fluxo de ataque:

Abrir um binário setuid (ex.: /usr/bin/su) como somente leitura
Configurar uma operação AEAD authencesn(hmac(sha256),cbc(aes)) via AF_ALG
Fornecer texto cifrado via splice() a partir do cache de páginas do arquivo alvo
A operação de descriptografia (com falha) sobrescreve 4 bytes da página do cache de páginas antes que a autenticação a rejeite
Repetir para cada janela de 4 bytes da carga útil
Executar execve() no alvo -- o kernel carrega as páginas mutadas do cache, concede credenciais setuid-root
A carga útil pivota para um shell root completo

Insight chave: O inode no disco nunca é modificado. Apenas o cache de páginas na memória é mutado, tornando a detecção forense significativamente mais difícil do que exploits tradicionais de sobrescrita de arquivos.

Nossas Melhorias

Este projeto estende a pesquisa original com endurecimento orientado a redteam em nove módulos.

1. Primitiva de Exploit Endurecida (`patch_chunk.c`)

Característica	Original	Nossa Implementação
Gerenciamento de sockets	Socket novo por chunk	Reuso de socket (~60% menos syscalls)
Verificação	Nenhuma	mmap + memcmp com repetição automática (3 tentativas)
Escrita paralela	Sequencial apenas	Paralela baseada em fork (até 16 processos)
Códigos de erro	Sucesso/falha binário	Granulares: 0=verificado, 1=kernel corrigido, -1=fatal
Alocações de heap	`malloc` no caminho crítico	Apenas pilha (sem jitter de alocação)

2. Descoberta Automática de Alvos (`target_discovery.c`)

Varredura em três fases: alvos prioritários → diretórios padrão → varredura profunda
Pontuação com consciência MAC: penaliza binários com perfis AppArmor/SELinux
18 alvos prioritários: su, sudo, passwd, pkexec, mount, ping, etc.
Cadeia de fallback: se o alvo primário falhar, seleciona automaticamente o próximo melhor candidato
Consciência de Snap: ignora /snap (setuid não tradicional)

3. Suite Anti-Forense (`anti_forensics.c`)

Técnica	Propósito
`posix_fadvise(POSIX_FADV_DONTNEED)`	Evicção do cache de páginas por arquivo
`echo 3 > /proc/sys/vm/drop_caches`	Limpeza global de cache (pós-root)
`utimensat()` timestomp	Restaura atime/mtime original
Autodestruição	Sobrescreve o binário dropper com zeros antes do exec
Limpeza de memória	`volatile` zerando buffers sensíveis

4. Execução Sem Arquivos (`memfd_exec.c`)

memfd_create + fexecve: executar sem caminho no sistema de arquivos
Camuflagem: memfd nomeado como kworker, anon_inode, eventfd (se mistura em /proc/$pid/fd/)
Fork-e-esqueça: duplo fork para criar processo órfão (PPID=1)
Descriptografia em memória: XOR e RC4 descriptografa-depois-executa (carga útil nunca em texto simples no disco)

5. Entrega de Carga Útil Estágio-1 (`stage1.c`)

Canal	Furtividade	Velocidade	Prioridade de Fallback
Embutido	Máxima	Instantâneo	Último (airgap)
HTTP direto	Médio	<1s	Primeiro
System curl/wget	Baixo	1-3s	Segundo (suporte HTTPS)
DNS TXT	Alto	Lento	Terceiro (bypass de firewall)

6. Implante C2 Estágio-2 (`stage2_template.c`)

Loop de reconexão resiliente com backoff exponencial
Três distribuições: uniforme, triangular, jitter exponencial
Controle por sinal: SIGUSR1 (acionar), SIGUSR2 (status), SIGTERM (desligar)
Sinalização DNS: verificação de saúde C2 furtiva antes da conexão TCP
Mascaramento de processo: [kworker/N:0] no ps/top

7. Ocultação de Processo (`proc_hide.c`)

Sobrescrita de argv[0]: substituição in-place de /proc/$pid/cmdline
prctl(PR_SET_NAME): nomes estilo thread do kernel (limite de 16 bytes)
Sanitização de ambiente: limpeza seletiva de SSH_*, AWS_*, TOKEN*, etc.
Desvinculação do pai: setsid() + setpgid() para independência do terminal

8. Controle de Acionamento por Sinal (`signal_trigger.c`)

Modo	Comportamento	Caso de Uso
`trigger_oneshot()`	Dormir → acionar → executar → sair	Bate-e-corre
`trigger_daemon()`	Dormir → acionar → executar → loop	Implante persistente
`trigger_auto()`	Dormir com fallback de timeout	Operações não supervisionadas

Espera com zero CPU: sigsuspend() em vez de loops de polling.

9. Jitter de Sono (`sleep_jitter.c`)

Três backends RNG: getrandom(2), /dev/urandom, fallback rdtsc
Amostragem por rejeição: elimina viés de módulo na distribuição uniforme
Compensação de deriva: sleep_scheduled() mantém intervalo médio apesar do jitter
Detecção de sandbox: check_sandbox_acceleration() detecta sleep() corrigida

Mais Populares

Sobre

COPY-FAIL

Copy Fail -- CVE-2026-31431

Índice

Visão Geral

Pesquisa Original

CVE-2026-31431: Copy Fail

Mecanismo da Vulnerabilidade

Nossas Melhorias

1. Primitiva de Exploit Endurecida (`patch_chunk.c`)

2. Descoberta Automática de Alvos (`target_discovery.c`)

3. Suite Anti-Forense (`anti_forensics.c`)

4. Execução Sem Arquivos (`memfd_exec.c`)

5. Entrega de Carga Útil Estágio-1 (`stage1.c`)

6. Implante C2 Estágio-2 (`stage2_template.c`)

7. Ocultação de Processo (`proc_hide.c`)

8. Controle de Acionamento por Sinal (`signal_trigger.c`)

9. Jitter de Sono (`sleep_jitter.c`)

Arquitetura

Mais Populares

Sobre

COPY-FAIL

Copy Fail -- CVE-2026-31431

Índice

Visão Geral

Pesquisa Original

CVE-2026-31431: Copy Fail

Mecanismo da Vulnerabilidade

Nossas Melhorias

1. Primitiva de Exploit Endurecida (patch_chunk.c)

2. Descoberta Automática de Alvos (target_discovery.c)

3. Suite Anti-Forense (anti_forensics.c)

4. Execução Sem Arquivos (memfd_exec.c)

5. Entrega de Carga Útil Estágio-1 (stage1.c)

6. Implante C2 Estágio-2 (stage2_template.c)

7. Ocultação de Processo (proc_hide.c)

8. Controle de Acionamento por Sinal (signal_trigger.c)

9. Jitter de Sono (sleep_jitter.c)

Arquitetura

1. Primitiva de Exploit Endurecida (`patch_chunk.c`)

2. Descoberta Automática de Alvos (`target_discovery.c`)

3. Suite Anti-Forense (`anti_forensics.c`)

4. Execução Sem Arquivos (`memfd_exec.c`)

5. Entrega de Carga Útil Estágio-1 (`stage1.c`)

6. Implante C2 Estágio-2 (`stage2_template.c`)

7. Ocultação de Processo (`proc_hide.c`)

8. Controle de Acionamento por Sinal (`signal_trigger.c`)

9. Jitter de Sono (`sleep_jitter.c`)