Copy Fail -- CVE-2026-31431

Улучшенная реализация на C для операций redteam и авторизованного тестирования на проникновение.

⚠️ Юридическое уведомление: Этот инструмент предназначен исключительно для авторизованных исследований безопасности, авторизованного тестирования на проникновение и защитного анализа. Используйте только на системах, которые вам принадлежат или на тестирование которых вы имеете явное письменное разрешение. Несанкционированный доступ к компьютерным системам является незаконным.

🚀 Основная разработка перенесена на GitLab.
Этот репозиторий активно поддерживается здесь. Для сообщений об ошибках и внесения вклада, пожалуйста, используйте GitLab.

Обзор

Этот проект представляет собой улучшенный, готовый к эксплуатации порт на C эксплойта локального повышения привилегий CVE-2026-31431 («Copy Fail»), первоначально раскрытого компаниями Theori и Xint 29 апреля 2026 года.

Исходное доказательство концепции было написано на Python и предназначено для демонстрации исследования. Наша реализация превращает его в инструментарий уровня redteam, обладающий:

Нулевым количеством артефактов на диске (бесфайловое исполнение на основе memfd)
Автоматическим обнаружением целей (перечисление setuid-бинарников с учётом MAC)
Анти-криминалистикой (сброс кэша, восстановление временных меток, самоуничтожение)
Управлением оператором (запуск по сигналу с настраиваемыми таймаутами)
Кросс-платформенной статической сборкой (x86_64, ARM64, RISC-V через musl/zig)

Оригинальное исследование

CVE-2026-31431: Copy Fail

Атрибут	Значение
Дата раскрытия	29 апреля 2026 г.
Исследователи	Theori (Jinoh Kang, Yonghwi Jin, Seunghyun Lee), Xint
Описание	https://copy.fail/
Исходный PoC	theori-io/copy-fail-CVE-2026-31431 (Python)
Порт на C (базовый)	tgies/copy-fail-c от Tony Gies
Затронутые ядра	Linux 4.14 -- 6.14 (до патча с коммитом `a664bf3d603d`)
Серьёзность	CVSS 7.8 (Высокая) -- локальное повышение привилегий

Механизм уязвимости

Уязвимость находится в подсистеме криптографии AF_ALG ядра Linux. Шаблон AEAD authencesn реализует оптимизацию на месте для расшифровки: когда зашифрованный текст поступает через splice() из кэша страниц файла, ядро повторно использует ту же страницу как для источника, так и для приёмника.

Последовательность атаки:

Откройте setuid-бинарник (например, /usr/bin/su) только для чтения
Настройте операцию AEAD с authencesn(hmac(sha256),cbc(aes)) через AF_ALG
Подайте зашифрованный текст через splice() из кэша страниц целевого файла
(Неудачная) операция расшифровки перезаписывает 4 байта в кэшированной странице до того, как аутентификация её отвергнет
Повторите для каждого 4-байтового окна полезной нагрузки
execve() целевого файла -- ядро загружает мутировавшие страницы из кэша, предоставляя полномочия setuid-root
Полезная нагрузка переходит к полной root-оболочке

Ключевой момент: индекс (inode) на диске никогда не изменяется. Изменяется только кэш страниц в памяти, что делает судебное обнаружение значительно более сложным по сравнению с традиционными эксплойтами перезаписи файлов.

Наши улучшения

Этот проект расширяет оригинальное исследование улучшениями, ориентированными на redteam, в девяти модулях.

1. Улучшенный примитив эксплойта (`patch_chunk.c`)

Особенность	Оригинал	Наша реализация
Управление сокетами	Новый сокет на каждый фрагмент	Повторное использование сокета (~60% меньше системных вызовов)
Верификация	Нет	mmap + memcmp с автоматическим повтором (3 попытки)
Параллельная запись	Только последовательно	Параллельная на основе fork (до 16 процессов)
Коды ошибок	Бинарный успех/неудача	Гранулярные: 0=проверено, 1=пропатченное ядро, -1=фатальная
Выделение кучи	`malloc` в горячем пути	Только стек (нет джиттера выделения)

2. Автоматическое обнаружение целей (`target_discovery.c`)

Трёхфазное сканирование: приоритетные цели → стандартные каталоги → глубокое сканирование
Оценка с учётом MAC: штраф для бинарников с профилями AppArmor/SELinux
18 приоритетных целей: su, sudo, passwd, pkexec, mount, ping и др.
Цепочка запасных вариантов: если основная цель не удалась, автоматически выбирается следующий лучший кандидат
Учёт Snap: пропускает /snap (нетрадиционные setuid)

3. Пакет анти-криминалистики (`anti_forensics.c`)

Техника	Назначение
`posix_fadvise(POSIX_FADV_DONTNEED)`	Пофайловое вытеснение кэша страниц
`echo 3 > /proc/sys/vm/drop_caches`	Глобальный сброс кэша (после получения root)
`utimensat()` timestomp	Восстановление исходных atime/mtime
Самоуничтожение	Перезапись бинарника дроппера нулями перед exec
Очистка памяти	`volatile` обнуление чувствительных буферов

4. Бесфайловое исполнение (`memfd_exec.c`)

memfd_create + fexecve: исполнение без пути в файловой системе
Маскировка: memfd с именами kworker, anon_inode, eventfd (сливается с /proc/$pid/fd/)
Fork-and-forget: двойной fork для создания процесса-сироты (PPID=1)
Расшифровка в памяти: XOR и RC4 расшифровка с последующим exec (полезная нагрузка никогда не находится в открытом виде на диске)

5. Доставка полезной нагрузки этапа 1 (`stage1.c`)

Канал	Скрытность	Скорость	Приоритет запасного варианта
Встроенный	Максимальная	Мгновенно	Последний (воздушный зазор)
HTTP напрямую	Средняя	<1с	Первый
Системный curl/wget	Низкая	1-3с	Второй (поддержка HTTPS)
DNS TXT	Высокая	Медленно	Третий (обход брандмауэра)

6. C2-имплант этапа 2 (`stage2_template.c`)

Устойчивый цикл переподключения с экспоненциальной задержкой
Три распределения: равномерное, треугольное, экспоненциальный джиттер
Управление сигналами: SIGUSR1 (запуск), SIGUSR2 (статус), SIGTERM (завершение)
DNS-маячок: скрытая проверка работоспособности C2 перед TCP-подключением
Маскировка процесса: [kworker/N:0] в ps/top

7. Сокрытие процесса (`proc_hide.c`)

Перезапись argv[0]: замена на месте /proc/$pid/cmdline
prctl(PR_SET_NAME): имена в стиле ядерных потоков (ограничение 16 байт)
Санитизация окружения: выборочная очистка SSH_*, AWS_*, TOKEN* и т.д.
Открепление от родителя: setsid() + setpgid() для независимости от терминала

8. Управление по сигналу (`signal_trigger.c`)

Режим	Поведение	Сценарий использования
`trigger_oneshot()`	Сон → запуск → исполнение → выход	«Ударил и убежал»
`trigger_daemon()`	Сон → запуск → исполнение → цикл	Постоянный имплант
`trigger_auto()`	Сон с таймаутом как запасной вариант	Необслуживаемые операции

Ожидание с нулевой загрузкой CPU: sigsuspend() вместо циклов опроса.

Популярное

Описание

COPY-FAIL

Copy Fail -- CVE-2026-31431

Содержание

Обзор

Оригинальное исследование

CVE-2026-31431: Copy Fail

Механизм уязвимости

Наши улучшения

1. Улучшенный примитив эксплойта (`patch_chunk.c`)

2. Автоматическое обнаружение целей (`target_discovery.c`)

3. Пакет анти-криминалистики (`anti_forensics.c`)

4. Бесфайловое исполнение (`memfd_exec.c`)

5. Доставка полезной нагрузки этапа 1 (`stage1.c`)

6. C2-имплант этапа 2 (`stage2_template.c`)

7. Сокрытие процесса (`proc_hide.c`)

8. Управление по сигналу (`signal_trigger.c`)

9. Джиттер сна (`sleep_jitter.c`)

Популярное

Описание

COPY-FAIL

Copy Fail -- CVE-2026-31431

Содержание

Обзор

Оригинальное исследование

CVE-2026-31431: Copy Fail

Механизм уязвимости

Наши улучшения

1. Улучшенный примитив эксплойта (patch_chunk.c)

2. Автоматическое обнаружение целей (target_discovery.c)

3. Пакет анти-криминалистики (anti_forensics.c)

4. Бесфайловое исполнение (memfd_exec.c)

5. Доставка полезной нагрузки этапа 1 (stage1.c)

6. C2-имплант этапа 2 (stage2_template.c)

7. Сокрытие процесса (proc_hide.c)

8. Управление по сигналу (signal_trigger.c)

9. Джиттер сна (sleep_jitter.c)

1. Улучшенный примитив эксплойта (`patch_chunk.c`)

2. Автоматическое обнаружение целей (`target_discovery.c`)

3. Пакет анти-криминалистики (`anti_forensics.c`)

4. Бесфайловое исполнение (`memfd_exec.c`)

5. Доставка полезной нагрузки этапа 1 (`stage1.c`)

6. C2-имплант этапа 2 (`stage2_template.c`)

7. Сокрытие процесса (`proc_hide.c`)

8. Управление по сигналу (`signal_trigger.c`)

9. Джиттер сна (`sleep_jitter.c`)