SamTimer

Однокнопочный root для устройств Samsung Galaxy на Android, построенный вокруг эксплойта таймера CVE-2026-98260 (UAF в posix-cpu-timers) и модуля поздней загрузки KernelSU-Next с совместимостью с Samsung KDP/RKP/DEFEX.

Основано на репозитории CVE-2026-98260-aurora — его порт LPE через таймер (цепочки поздней загрузки ksud с real-cred zero-write / fake-cred) — это то, из чего развился app/src/main/cpp/timer.c.

[!WARNING] Для устройств, которыми вы владеете или которые вам явно разрешено тестировать. Эксплойт представляет собой вероятностный UAF в ядре — неудачный запуск может оставить систему нестабильной до следующей перезагрузки. Перезагрузка всегда возвращает телефон в чистое, нерутованное состояние.

Обзор

Эксплойт	CVE-2026-98260 (полезная нагрузка timer.c, собирается Gradle)
Модуль root	KernelSU-Next 3.4.2 (ksud-next-generic-kdp, android14-6.1 no-patch-text)
Контекст выполнения	Оболочка Shizuku (uid 2000)
Авторизация su	Менеджер KernelSU-Next (com.rifsxd.ksunext), домен u:r:ksu:s0
Время жизни root	До перезагрузки (эфемерный — сбрасывается при перезагрузке)

Протестировано на SM-S921N (e1s, Exynos 2400), ядро 6.1.162-android14-11, OneUI 9.

Возможности

• UI на Material 3 Compose (английский / корейский, следует системной локали)
• Индикатор root в реальном времени — обнаруживает загруженный модуль KernelSU каждые несколько секунд
• Диалог подтверждения перед каждым запуском; кнопка повторного рута остаётся доступной, когда root уже получен
• Автоматический root после перезагрузки — цепочка boot receiver → WorkManager, которая ждёт Shizuku, затем запускает цепочку без участия пользователя с уведомлениями о прогрессе; неудачный запуск отключает саму опцию (защита от boot-loop)
• Полезная нагрузка эксплойта компилируется автоматически с помощью Gradle — assembleDebug всегда поставляет свежий бинарник

Требования

1. Запущенный Shizuku (беспроводная отладка). Для авто-рута: включите автозапуск Shizuku при загрузке и один раз предоставьте его разрешение для SamTimer.
2. Установленный менеджер KernelSU-Next (com.rifsxd.ksunext) — su предоставляется только приложениям, авторизованным менеджером.

Сборка

./gradlew assembleDebug
# APK: app/build/outputs/apk/debug/app-debug.apk

• app/src/main/cpp/timer.c компилируется в app/src/main/jniLibs/arm64-v8a/libtimer.so задачей buildPayload (NDK определяется автоматически: ANDROID_NDK_HOME → local.properties → SDK → ~/android-ndk-r27c)
• libksud.so — предсобранный late-load демон KernelSU-Next
• ./gradlew clean удаляет все выходные файлы, включая сгенерированный payload (предсобранный libksud.so сохраняется)

Использование

1. Запустите Shizuku, откройте SamTimer
2. Нажмите Root now → подтвердите → подождите 1–7 минут
3. Выдайте su вашим приложениям в менеджере KernelSU-Next
4. При желании включите Auto-root after reboot

Цепочка

1. timer.c утекает дочерние учётные данные через kmem-трассировку, очищает слот creds_hash в DEFEX, устанавливает поддельные учётные данные с uid 0 (запись в selinux_state попадает по смещению -7, чтобы initialized выжил — 8-байтовый ноль по смещению 0 убивает флаг загруженной политики и ломает любую запись свойств)
2. Root-воркер принимает контекст u:r:init:s0, монтирует ksud поверх /system/bin/logcat внутри приватного mount namespace (KDP-безопасный exec) и запускает late-load --package-name com.rifsxd.ksunext
3. KernelSU-Next загружается (сборка без патчинга текста — живой патчинг текста вызывает панику на Exynos 2400), ksud возвращает SELinux в режим enforcing
4. Успех проверяется через бэкдор-ioctl reboot() драйвера KSU
5. Зомби-процессы неудачного внедрения не пожинаются процессом-держателем до перезагрузки (их пожинание повреждает живую память ядра — держите его живым)

Благодарности / upstream

• CVE-2026-98260-aurora — это приложение построено на порте timer LPE из репозитория aurora: payload timer.c (цепочки с обнулением реальных учётных данных и с поддельными учётными данными / late-load ksud) зародился там и живёт в этом проекте как app/src/main/cpp/timer.c
• BuSung-dev/Root-My-Galaxy — проверенный late-load поток Samsung KSU, который повторяет это приложение (структура su_daemon.c, стейджинг .ksud-stage, сопряжение с менеджером)
• BuSung-dev/Root-My-Galaxy-Payloads — пары ksud/kernelsu.ko для каждой цели и методология портирования Samsung KDP/RKP/DEFEX (vermagic точного релиза, без патчинга текста для Exynos)
• rushiranpise/Root-My-Galaxy-Payloads — дельта-патчи Samsung для KernelSU 3.2.5–3.4.2, KernelSU-Next и ReSukiSU; здесь используется ksud-next-generic-kdp (KernelSU-Next 3.4.2)
• tiann/KernelSU · KernelSU-Next/KernelSU-Next — родословная root-модуля
• DirtyFrag (CVE-2026-43284, линия DFRoot) — паттерн autorun / блокировки неудачного запуска
• Shizuku — выполнение с uid оболочки без ПК

Отказ от ответственности

Используйте на свой страх и риск. Авторы не несут ответственности за потерю данных, превращённые в кирпич устройства или что-либо ещё, что случится с оборудованием, на которое вы это направите.