CVE-2026-68820-Mitigation-PoC-

此仓库包含针对 **CVE-2026-68820**（Windows `afd.sys` 驱动程序中一个严重的 **Use-After-Free（UAF）** 类型漏洞）的缓解方案的教育性演示。

🔍 检测（Sigma 和 YARA）

detection/ 文件夹包含用于识别相关恶意活动的规则：

Sigma 规则（SIEM）

• afd_uaf_privilege_escalation.yml：检测可疑的 socket 快速创建/销毁模式（堆布局操纵）以及权限提升行为 [citation:11][citation:15]。
• suspicious_service_creation_post_afd.yml：识别异常网络活动后创建的疑似恶意服务 [citation:15]。

YARA 规则（文件扫描）

• lazarus_fudmodule_rootkit.yar：检测此次活动中使用的 FudModule v3.1 Rootkit [citation:1][citation:14]。
• lazarus_relayshell_webshell.yar：检测被用作 C2 中继的 RelayShell Webshell [citation:1][citation:14]。
• troy_backdoor.yar：检测 Troy 后门 [citation:1][citation:5]。

📊 失陷指标（IOCs）

文件 iocs/cve-2026-68820_iocs.csv 包含与该活动相关的哈希、域名和 IP 地址 [citation:1][citation:13]。

⚠️ 免责声明

本代码仅供教育目的及在受控环境中进行研究使用。 恶意使用此信息的责任由用户自行承担。未经明确授权，不得将其用于利用系统漏洞。

📚 参考资料

• Check Point：Shattering the Dream 报告
• NVD：CVE-2026-68820
• CISA KEV 目录

📜 许可证

本项目采用 MIT 许可证（参见 LICENSE）。