0xKern3lCrush

Исследование BYOVD в Windows на двух реальных случаях: Safetica ProcessMonitorDriver (CVE-2026-0828) и драйвер ThrottleStop, эксплуатировавшийся MedusaLocker (CVE-2025-7771). В репозитории описаны открытые интерфейсы, привилегированный результат, к которому приводит каждый из них, и способы обнаружения злоупотребления. Он содержит только безопасную разведку в пользовательском режиме: никакого кода уровня ядра, никакого вызова IOCTL и никакой процедуры завершения процессов.

Что такое 0xKern3lCrush?

Средства защиты конечных точек всё чаще охраняют собственные процессы с помощью уровней защиты и ограниченных токенов, поэтому атакующие переносят борьбу в ядро с помощью Bring Your Own Vulnerable Driver. Они подбрасывают легитимный, но уязвимый подписанный драйвер, вызывают слабый обработчик IOCTL и достигают примитива уровня ядра, такого как произвольное завершение процессов или произвольное чтение и запись памяти.

Этот репозиторий изучает такой шаблон на двух публичных случаях и превращает каждый из них в материал для обнаружения и усиления защиты.

Репозиторий — это исследование, а не оружие. Он не содержит работающего эксплойта и кода уровня ядра.

Почему это важно

Случаи Safetica и ThrottleStop не теоретические. ThrottleStop.sys был вооружён операторами MedusaLocker в реальных вторжениях, и этот шаблон обобщается на десятки подписанных драйверов, эксплуатировавшихся в период с 2024 по 2026 год. Драйвер, достигающий завершения процессов на уровне ядра или записи в память ядра, — это прямой путь к отключению защиты конечной точки до того, как будет доставлена полезная нагрузка.

Вклад исследования

Вклад здесь — это чёткое, воспроизводимое описание каждого случая и защитный материал, который из него следует:

• открытая поверхность устройства и IOCTL для каждого драйвера
• первопричина в каждом обработчике
• привилегированный результат и его реальное применение
• хеши артефактов драйверов и публичные зеркала исследований
• рекомендации по обнаружению и смягчению последствий

Safetica ProcessMonitorDriver - CVE-2026-0828

• Издатель: Safetica Endpoint Client x64.
• Драйвер: ProcessMonitorDriver.sys.
• Затронутые версии: 10.5.75.0, 11.11.4.0.
• Опубликовано: январь 2026 (исследование KOSEC изначально ноябрь 2025).
• Первопричина: обработчик IOCTL не проверяет привилегии вызывающего и не очищает входные данные на пути завершения.
• Результат: непривилегированный вызывающий может завершать произвольные процессы, включая защищённые и системно критичные, из контекста ядра.
• Реальное применение: классический примитив BYOVD. Атакующий подбрасывает драйвер, завершает защиту конечной точки и продолжает с полезной нагрузкой.
• Статус: публично подтверждённого патча от производителя по состоянию на февраль 2026 нет. CERT VU#818729 опубликован 20 января 2026.

Известные хеши и зеркала находятся в drivers/0xhashes.md. Полные заметки находятся в research/0xsafetica-cve-2026-0828.md.

ThrottleStop - CVE-2025-7771

Операторы MedusaLocker вооружили ThrottleStop.sys, драйвер из инструмента троттлинга процессора TechPowerUp, в реальных вторжениях, включая бразильский инцидент, проанализированный Kaspersky в августе 2025. Это более продвинутый сценарий, чем прямое завершение через IOCTL.

• Драйвер: ThrottleStop.sys, переименованный атакующими в ThrottleBlood.sys, подписан TechPowerUp сертификатом DigiCert EV 2020 года.
• Первопричина: драйвер открывает IOCTL, достигающие MmMapIoSpace без проверки доступа, поэтому вызывающий из пользовательского режима может читать и записывать физическую память.
• Сценарий, только анализ:
  1. Загрузить переименованный драйвер как службу и открыть \\.\ThrottleStop.
  2. Отправить уязвимые IOCTL (физическое чтение 0x80006498, запись 0x8000649C).
  3. Обойти KASLR, запросив базу ядра через NtQuerySystemInformation(SystemModuleInformation).
  4. Транслировать виртуальный адрес в физический, часто через утечку информации SuperFetch.
  5. Перезаписать редко используемую функцию хуком.
  6. Хук достигает пути поиска и завершения процессов и убивает жёстко закодированный список процессов безопасности.
  7. Восстановить исходные байты и развернуть программу-вымогатель.
• Результат: завершение защищённых процессов безопасности на уровне ядра, что позволяет продолжить шифрование.
• Статус: производитель готовил патч в течение 2025 года; драйвер не был в блок-листе Microsoft изначально.

Полные заметки находятся в research/0xthrottlestop-medusalocker.md. Первоисточник: Kaspersky Securelist, август 2025.

Обнаружение

• Загрузка драйвера: следите за случайной или переименованной службой ядра, созданной из файла .sys, за которой сразу следует запуск. Event ID 7045 и, при включённом аудите служб, 4697.
• Доступ к устройству: дескрипторы, открытые на имена устройств, которые открывает каждый драйвер, из неожиданного процесса.
• IOCTL: коды IOCTL завершения и физической памяти, коррелирующие с завершением защищённых процессов безопасности.
• Блок-лист: поддерживайте блок-лист уязвимых драйверов Microsoft и вашу политику WDAC в актуальном состоянии; загрузка не удаётся там, где они применяются.

Заметки по смягчению последствий находятся в docs/0xmitigations.md.

Безопасная разведка

src/0xPoC.c работает только на чтение. Он перечисляет запущенные процессы через API Toolhelp32 и выводит имена распространённых продуктов безопасности. Это первый шаг разведки, и он не выполняет никаких привилегированных действий.

# From a Visual Studio Developer Command Prompt
cl.exe /EHsc /W4 src/0xPoC.c
0xPoC.exe

Структура репозитория

0xKern3lCrush/
|-- README.md
|-- LICENSE
|-- SECURITY.md
|-- src/
|   |-- 0xPoC.c          read-only process enumeration
|   +-- 0xtargets.h      target name list
|-- drivers/
|   +-- 0xhashes.md      artifact hashes and public mirrors
|-- research/
|   |-- 0xbyovd-patterns.md
|   |-- 0xsafetica-cve-2026-0828.md
|   +-- 0xthrottlestop-medusalocker.md
+-- docs/
    +-- 0xmitigations.md

Ограничения

• Работающий эксплойт не включён, по замыслу.
• Описания основаны на публичных раскрытиях и статическом анализе.
• Статус блок-листа зависит от момента времени и меняется со временем.
• Покрытие версий отражает то, что было публично на момент написания.

Ссылки

• Safetica ProcessMonitorDriver, CERT VU#818729 (2026-01-20).
• Kaspersky Securelist, AV killer exploiting ThrottleStop.sys (2025-08).
• Microsoft vulnerable driver blocklist.

Ответственное использование

Этот проект существует для исследований и защиты. Загружайте эти драйверы только на системах, которыми вы владеете или которые уполномочены тестировать, и только в изолированной среде со снимком для отката. Загрузка уязвимого подписанного драйвера или отправка специально сформированного IOCTL без авторизации незаконна в большинстве юрисдикций.