CVE-2026-36425 : OPSWAT AppRemover 任意进程终止

一个已签名的 OPSWAT 内核驱动程序，可按需终止任意进程。无需管理员权限，无权限检查，也不会询问任何问题。将其指向 EDR、杀毒软件或受 PPL 保护的进程，目标即被终止。三种不同的终止方法，全部在内核模式下运行，全部由任意本地用户通过单个 IOCTL 触发。已识别出 16 个存在漏洞的驱动程序变体，均具有有效签名。

⚠️ 本仓库仅供教育和研究目的使用。作者对所提供的任何信息或工具被滥用不承担任何责任。

📝 博客文章： 介绍 CVE-2026-36425 | OPSWAT EDR 终结者

在博客文章中，我们详细介绍了在 IDA Pro 中对驱动程序进行完整逆向工程的过程，从 DriverEntry 设置到 IOCTL 分发链，并剖析了该驱动程序在底层使用的三种不同进程终止方法。我们还对一款知名的 EDR 进行了现场测试，加载已签名的驱动程序并从内核模式终止了其代理程序。

概述

描述

OPSWAT AppRemover 内核驱动程序 (ardrv.sys) 暴露了一个设备对象 (\\.\ardrv)，任何本地用户无需权限验证即可访问。该驱动程序的 IOCTL 处理程序 0x2420031 使用三种不同的方法对调用者提供的 PID 执行进程终止操作：

1. 内存破坏：通过 KeAttachProcess 附加到目标进程，并用 0xCC（INT3 断点）覆盖前 4096 页，强制其崩溃。
2. 直接终止：通过 ObOpenObjectByPointer 打开进程，并对高 PID 值调用 ZwTerminateProcess。
3. 作业对象终止：创建一个作业对象，将目标进程分配至其中，然后通过 ZwTerminateJobObject 终止整个作业作为后备方案。

这三种方法均在内核上下文中执行，不进行调用方验证，无权限检查，也不对关键进程或 PPL 进程提供任何保护。该漏洞可能被滥用于终止 EDR/AV 代理程序及其他安全软件。

使用方法

ardrvkiller.exe <PID>

加载驱动程序

sc.exe create ardrv binPath="C:\path\to\ardrv_XX.sys" type=kernel
sc.exe start ardrv

终止进程

ardrvkiller.exe 1234

存在漏洞的驱动程序变体

共识别出 16 个变体，全部由 OPSWAT 签名，且均存在相同的漏洞。

时间线

参考链接

• CVE 记录
• NVD
• 博客文章

作者

j3h4ck @j3h4ck | linkedin | medium