0xKern3lCrush

针对两个真实案例的 Windows BYOVD 研究：Safetica ProcessMonitorDriver （CVE-2026-0828）以及被 MedusaLocker 滥用的 ThrottleStop 驱动 （CVE-2025-7771）。本仓库记录了暴露的接口、每个接口所能达到的 特权结果，以及如何检测此类滥用。它仅附带安全的用户态侦察代码： 没有内核态代码，没有 IOCTL 调用，也没有进程终止例程。

什么是 0xKern3lCrush？

端点防护越来越多地使用保护级别和受限令牌来保护自身进程，因此攻击者 借助“自带易受攻击驱动”（Bring Your Own Vulnerable Driver）将战场 转移到内核中。他们投放一个合法但存在漏洞的已签名驱动，调用薄弱的 IOCTL 处理程序，从而触达诸如任意进程终止或任意内存读写之类的内核 原语。

本仓库针对两个公开案例研究这一模式，并将每个案例转化为检测与加固 材料。

本仓库是一项研究，而非武器。它不包含可用的漏洞利用代码，也不包含 内核态代码。

为什么这很重要

Safetica 和 ThrottleStop 案例并非理论推演。ThrottleStop.sys 曾被 MedusaLocker 操作者在真实入侵中武器化，而这一模式在 2024 年至 2026 年间被滥用的数十个已签名驱动中普遍存在。一个能够触达内核进程终止或 内核内存写入的驱动，就是在载荷落地之前让端点防护沉默的直接路径。

研究贡献

此处的贡献是对每个案例及其衍生的防御材料进行清晰、可复现的 记录：

• 每个驱动暴露的设备与 IOCTL 攻击面
• 每个处理程序中的根本原因
• 特权结果及其在现实世界中的用途
• 驱动产物哈希与公开研究镜像
• 检测与缓解指导

Safetica ProcessMonitorDriver - CVE-2026-0828

• 发布者：Safetica Endpoint Client x64。
• 驱动：ProcessMonitorDriver.sys。
• 受影响版本：10.5.75.0、11.11.4.0。
• 发布时间：2026 年 1 月（KOSEC 研究最初于 2025 年 11 月）。
• 根本原因：IOCTL 处理程序不验证调用者权限，并且在终止路径上 不对输入进行净化。
• 结果：非特权调用者可以从内核上下文终止任意进程，包括受保护 进程和系统关键进程。
• 现实世界中的用途：经典的 BYOVD 原语。攻击者投放该驱动，终止 端点防护，然后继续执行载荷。
• 状态：截至 2026 年 2 月，尚无公开确认的厂商补丁。CERT VU#818729 于 2026 年 1 月 20 日发布。

已知哈希与镜像位于 drivers/0xhashes.md。 完整笔记位于 research/0xsafetica-cve-2026-0828.md。

ThrottleStop - CVE-2025-7771

MedusaLocker 操作者在真实入侵中武器化了 ThrottleStop.sys，即 TechPowerUp CPU 降频工具所附带的驱动，其中包括卡巴斯基在 2025 年 8 月分析的一起巴西事件。这比直接通过 IOCTL 终止进程更为高级。

• 驱动：ThrottleStop.sys，被攻击者重命名为 ThrottleBlood.sys， 由 TechPowerUp 使用 2020 年的 DigiCert EV 证书签名。
• 根本原因：该驱动暴露的 IOCTL 可在没有任何访问检查的情况下触达 MmMapIoSpace，因此用户态调用者可以读写物理内存。
• 流程，仅作分析：
  1. 将重命名后的驱动作为服务加载，并打开 \\.\ThrottleStop。
  2. 发送存在漏洞的 IOCTL（物理读取 0x80006498，写入 0x8000649C）。
  3. 通过 NtQuerySystemInformation(SystemModuleInformation) 查询 内核基址，从而绕过 KASLR。
  4. 将虚拟地址转换为物理地址，通常借助 SuperFetch 信息泄露。
  5. 用一个钩子覆盖一个很少使用的函数。
  6. 该钩子触达进程查找与终止路径，并杀死一份硬编码的安全进程 列表。
  7. 恢复原始字节并部署勒索软件。
• 结果：在内核层面终止受保护的安全进程，从而使加密得以继续。
• 状态：厂商在整个 2025 年都在准备补丁；该驱动起初并不在 Microsoft 阻止列表中。

完整笔记位于 research/0xthrottlestop-medusalocker.md。 主要来源：Kaspersky Securelist，2025 年 8 月。

检测

• 驱动加载：留意由 .sys 文件创建并紧接着启动的随机命名或重命名 的内核服务。事件 ID 7045，以及在启用服务审核时的 4697。
• 设备访问：来自异常进程的、在驱动所暴露设备名上打开的句柄。
• IOCTL：终止与物理内存 IOCTL 代码，并与受保护安全进程的终止 相关联。
• 阻止列表：保持 Microsoft 易受攻击驱动阻止列表和你的 WDAC 策略为最新；在强制执行它们的地方，加载会失败。

缓解笔记位于 docs/0xmitigations.md。

安全侦察

src/0xPoC.c 是只读的。它通过 Toolhelp32 API 枚举正在运行的进程， 并打印常见安全产品的名称。这是侦察的第一步，不执行任何特权 操作。

# From a Visual Studio Developer Command Prompt
cl.exe /EHsc /W4 src/0xPoC.c
0xPoC.exe

仓库结构

0xKern3lCrush/
|-- README.md
|-- LICENSE
|-- SECURITY.md
|-- src/
|   |-- 0xPoC.c          read-only process enumeration
|   +-- 0xtargets.h      target name list
|-- drivers/
|   +-- 0xhashes.md      artifact hashes and public mirrors
|-- research/
|   |-- 0xbyovd-patterns.md
|   |-- 0xsafetica-cve-2026-0828.md
|   +-- 0xthrottlestop-medusalocker.md
+-- docs/
    +-- 0xmitigations.md

局限性

• 按设计，不包含可用的漏洞利用代码。
• 这些记录基于公开披露和静态分析。
• 阻止列表状态是特定时间点的快照，会随时间变化。
• 版本覆盖范围反映撰写时的公开情况。

参考资料

• Safetica ProcessMonitorDriver，CERT VU#818729（2026-01-20）。
• Kaspersky Securelist，利用 ThrottleStop.sys 的 AV 杀手（2025-08）。
• Microsoft 易受攻击驱动阻止列表。

负责任的使用

本项目为研究与防御而存在。仅在你拥有或获授权测试的系统上加载这些 驱动，并且仅在带有可回滚快照的隔离环境中进行。未经授权加载易受 攻击的已签名驱动或发送精心构造的 IOCTL，在大多数司法管辖区都是 违法的。