CVE-2025-60709/
├── CVE-2025-60709.c    (5.3 КБ, 157 строк) — Оригинальный эксплойт на C
├── CVE-2025-60709.go   (9.2 КБ, 285 строк) — Порт на Go (демо, обучающая)
└── README.txt          (4.2 КБ, 132 строки) — Оригинальная документация

┌─────────────────────────────────────────────────────────────┐
│                    CVE-2025-60709 LPE                       │
└─────────────────────────────────────────────────────────────┘

[1] ОБХОД ЗАЩИТЫ
    ├─ KillETW()   → Патчит EtwEventWrite в ntdll с помощью RET (0xC3)
    └─ KillAMSI()  → Патчит AmsiScanBuffer в amsi.dll с помощью RET (0xC3)

[2] HEAP GROOMING (подготовка памяти)
    └─ GroomLookaside()
       ├─ Создаёт 4096 файлов: C:\Windows\Temp\groom_00000.blf
       ├─ Вызывает CreateLogFile() + AddLogContainer() для каждого
       └─ Истощает lookaside списки → гарантирует предсказуемый макет кучи

[3] ПРИМИТИВ ПРОИЗВОЛЬНОЙ ЗАПИСИ — ClfsArbWrite(Address, Value)
    ├─ Создаёт неправильно сформированный буфер CLFS (0x102010 байт)
    │    ├─ Действительная подпись CLFS в +0x00: 0x0201
    │    ├─ Oversized cbRecord в +0x100: 0xFF00 (65 280 байт)
    │    ├─ Маркер теневой зоны в +0x9A8: 0x13371337
    │    └─ Поддельный CClfsContainerContext по смещению (0xFF00 + 0x100):
    │         ├─ pContainer  = TargetAddress - 0x10
    │         └─ cbContainer = Value (записываемые данные)
    ├─ Вычисляет корректную контрольную сумму CLFS (драйвер проверяет)
    ├─ Записывает неправильный контейнер → C:\Windows\Temp\evil.blf
    ├─ Создаёт журнал, указывающий на evil.blf
    ├─ Вызывает ClfsReadRestartArea() → запускает разбор в ядре
    └─ Драйвер переполняет буфер → записывает Value по адресу Address ✓

[4] КРАЖА ТОКЕНА SYSTEM
    ├─ Читает EPROCESS процесса SYSTEM через PsInitialSystemProcess
    └─ Извлекает токен по адресу EPROCESS + 0x4C0

[5] ПОВЫШЕНИЕ ПРИВИЛЕГИЙ
    └─ ClfsArbWrite(CurrentEprocess + 0x4C0, SystemToken)
       └─ Перезаписывает токен текущего процесса токеном SYSTEM ✓

[6] ЗАПУСК ПОЛЕЗНОЙ НАГРУЗКИ C2
    ├─ VirtualAlloc(PAGE_EXECUTE_READWRITE)
    ├─ Копирует 1789-байтовый shellcode beacon
    ├─ CreateThread() → выполняется как NT AUTHORITY\SYSTEM
    └─ Beacon: IPv6 + DoH C2 → резервный канал Gmail drafts
       └─ sRDI + обфускация сна + ETW/AMSI уже пропатчены

[7] ПЕРСИСТЕНТНОСТЬ
    └─ Sleep(INFINITE) → процесс сохраняет токен SYSTEM

Легитимный контейнер CLFS:
  [Заголовок 0x100 байт][Запись: cbRecord байт реальных данных]

Неправильный контейнер (evil.blf):
  [Действительный заголовок][cbRecord=0xFF00 → ядро читает 65 280 байт]
                        ↓
  Переполнение в ядре → достигает поддельного CClfsContainerContext
                        ↓
  pContainer  = TargetKernelAddress - 0x10
  cbContainer = ValueToWrite
                        ↓
  Драйвер использует поддельную структуру → записывает ValueToWrite по адресу TargetKernelAddress

cl /O1 /MT /link ntdll.lib advapi32.lib clfsw32.lib CVE-2025-60709.c

go build -ldflags="-s -w" -o CVE-2025-60709.exe CVE-2025-60709.go

rule CVE_2025_60709_CLFS_LPE {
    meta:
        description = "Detects CVE-2025-60709 CLFS LPE exploit"
        author      = "KONDORDEVSECURITYCORP"
        date        = "2026-03"
        cve         = "CVE-2025-60709"
        severity    = "critical"

    strings:
        $clfs_sig   = { 01 02 00 00 }
        $magic      = { 37 13 37 13 }
        $evil_file  = "evil.blf" ascii wide
        $groom_file = "groom_" ascii wide
        $etw_func   = "EtwEventWrite" ascii wide
        $amsi_func  = "AmsiScanBuffer" ascii wide
        $token_off  = { C0 04 00 00 }       // EPROCESS_TOKEN = 0x4C0

    condition:
        3 of them
}

ФАЙЛ:    Массовое создание *.blf в C:\Windows\Temp\ (> 100 за секунды)
ФАЙЛ:    Создание C:\Windows\Temp\evil.blf
ПРОЦЕСС: Процесс в режиме REALTIME_PRIORITY + вызовы ClfsReadRestartArea
ПАМЯТЬ:  Запись в PAGE_EXECUTE_READWRITE + немедленный CreateThread
API:     VirtualProtect над EtwEventWrite или AmsiScanBuffer
ЯДРО:    Доступ к PsInitialSystemProcess из пользовательского режима

# Проверить файлы grooming
Get-ChildItem C:\Windows\Temp -Filter "groom_*.blf" | Measure-Object

# Проверить файл эксплойта
Test-Path C:\Windows\Temp\evil.blf

# Проверить целостность ntdll (патч ETW)
Get-AuthenticodeSignature (Get-Process -Name notepad | Select -First 1).Path

[1] ОБХОД ЗАЩИТЫ
    ├─ KillETW()   → Патчит EtwEventWrite в ntdll с помощью RET (0xC3)
    └─ KillAMSI()  → Патчит AmsiScanBuffer в amsi.dll с помощью RET (0xC3)

[2] HEAP GROOMING
    └─ GroomLookaside()
       ├─ Создаёт 4096 файлов: C:\Windows\Temp\groom_00000.blf
       ├─ Вызывает CreateLogFile() + AddLogContainer() для каждого
       └─ Истощает lookaside списки → гарантирует предсказуемый макет кучи

[3] ПРИМИТИВ ПРОИЗВОЛЬНОЙ ЗАПИСИ — ClfsArbWrite(Address, Value)
    ├─ Создаёт неправильно сформированный буфер CLFS (0x102010 байт)
    │    ├─ Действительная подпись CLFS в +0x00: 0x0201
    │    ├─ Oversized cbRecord в +0x100: 0xFF00 (65 280 байт)
    │    ├─ Маркер теневой зоны в +0x9A8: 0x13371337
    │    └─ Поддельный CClfsContainerContext по смещению (0xFF00 + 0x100):
    │         ├─ pContainer  = TargetAddress - 0x10
    │         └─ cbContainer = Value (записываемые данные)
    ├─ Вычисляет корректную контрольную сумму CLFS (драйвер проверяет)
    ├─ Записывает неправильный контейнер → C:\Windows\Temp\evil.blf
    ├─ Создаёт журнал, указывающий на evil.blf
    ├─ Вызывает ClfsReadRestartArea() → запускает разбор в ядре
    └─ Драйвер переполняет буфер → записывает Value по адресу Address ✓

[4] КРАЖА ТОКЕНА SYSTEM
    ├─ Читает EPROCESS процесса SYSTEM через PsInitialSystemProcess
    └─ Извлекает токен по адресу EPROCESS + 0x4C0

[5] ПОВЫШЕНИЕ ПРИВИЛЕГИЙ
    └─ ClfsArbWrite(CurrentEprocess + 0x4C0, SystemToken)
       └─ Перезаписывает токен текущего процесса токеном SYSTEM ✓

[6] ЗАПУСК ПОЛЕЗНОЙ НАГРУЗКИ C2
    ├─ VirtualAlloc(PAGE_EXECUTE_READWRITE)
    ├─ Копирует 1789-байтовый shellcode beacon
    ├─ CreateThread() → выполняется как NT AUTHORITY\SYSTEM
    └─ Beacon: IPv6 + DoH C2 → резервный канал Gmail drafts
       └─ sRDI + обфускация сна + ETW/AMSI уже пропатчены

[7] ПЕРСИСТЕНТНОСТЬ
    └─ Sleep(INFINITE) → процесс сохраняет токен SYSTEM

Легитимный контейнер CLFS:
  [Заголовок 0x100 байт][Запись: cbRecord байт реальных данных]

Неправильный контейнер (evil.blf):
  [Действительный заголовок][cbRecord=0xFF00 → ядро читает 65 280 байт]
                        ↓
  Переполнение в ядре → достигает поддельного CClfsContainerContext
                        ↓
  pContainer  = TargetKernelAddress - 0x10
  cbContainer = ValueToWrite
                        ↓
  Драйвер использует поддельную структуру → записывает ValueToWrite по адресу TargetKernelAddress

cl /O1 /MT /link ntdll.lib advapi32.lib clfsw32.lib CVE-2025-60709.c

go build -ldflags="-s -w" -o CVE-2025-60709.exe CVE-2025-60709.go

rule CVE_2025_60709_CLFS_LPE {
    meta:
        description = "Detects CVE-2025-60709 CLFS LPE exploit"
        author      = "KONDORDEVSECURITYCORP"
        date        = "2026-03"
        cve         = "CVE-2025-60709"
        severity    = "critical"

    strings:
        $evil_file  = "evil.blf" ascii wide
        $groom_file = "groom_" ascii wide
        $etw_func   = "EtwEventWrite" ascii wide
        $amsi_func  = "AmsiScanBuffer" ascii wide
        $magic      = { 37 13 37 13 }
        $token_off  = { C0 04 00 00 }

    condition:
        3 of them
}

ФАЙЛ:    Массовое создание *.blf в C:\Windows\Temp\ (> 100 за секунды)
ФАЙЛ:    Создание C:\Windows\Temp\evil.blf
ПРОЦЕСС: Процесс в режиме REALTIME_PRIORITY + вызовы ClfsReadRestartArea
ПАМЯТЬ:  Запись в PAGE_EXECUTE_READWRITE + немедленный CreateThread
API:     VirtualProtect над EtwEventWrite или AmsiScanBuffer
ЯДРО:    Доступ к PsInitialSystemProcess из пользовательского режима

# Проверить файлы grooming
Get-ChildItem C:\Windows\Temp -Filter "groom_*.blf" | Measure-Object

# Проверить файл эксплойта
Test-Path C:\Windows\Temp\evil.blf