WinDefenderKiller

WinDefenderKiller PermanentDisablefromRegistry レジストリキーを介してWindows Defenderを完全に無効化するためのC++コード コンパイルして実行するだけです！ そして、再起動すると： BYOVDWindowsDefenderKiller このモジュールは、BYOVD（Bring Your Own Vulnerable Driver）技術を実装し、プロセスを継続的に終了させることでWindows Defenderを無効化します。 カーネルレベルのアクセスを得るために脆弱な署名済みドライバが読み込まれ、プログラムがMsMpEng.e...

BYOVD-DriverKiller

BYOVD-DriverKiller ⚠️ 警告 : このプロジェクトは厳密に教育的・デモンストレーション目的です。悪意のある目的で使用することを意図していません。目的は、リバースエンジニアリングの手法とWindowsドライバーのエクスプロイト手順を学ぶことです。 ここでは、d1rkSaadAhla https://github.com/SaadAhla が提供する演習を解くために私が取ったアプローチを説明します。この演習は、正規に署名され、ブロックリスト（HVCI、LOLBIN...）に存在しないドライバーに対してリバースエンジニアリングとエクスプロイトを行うというものです。...

TopazTerminator

TopazTerminator ああ、また別のドライバーが燃やされた…。私はしばらくの間 wsftprm.sys ドライバーを囲っていたのですが、ある人が公開PoCを投稿したので、もう囲うのをやめます。すぐにドライバーブロックリストに追加されるのは分かっているので、同じ機能をCで実装したものをここに公開します。 このプロジェクトは、脆弱な wsftprm.sys（Topaz Antifraud カーネルドライバー）を悪用して、Windows 上の保護されたプロセス（例：アンチウイルス/EDR サービス）を終了させます。 2026年1月 現在、wsftprm.sys（SHA-256:...

GhostDriver

GhostDriver 👻 概要 GhostDriverは、BYOVDを使用したRust製のAVキラー（アンチウイルス無効化）ツールです。 始め方 1. rust-lang.orgからRustをインストールします 2. クローン: git clone https://github.com/BlackSnufkin/GhostDriver.git 3. ビルド: cargo build --release --target=x8664-pc-windows-msvc 4. 実行: GhostDriverバイナリを実行します 使用方法: GhostDriver.exe 2.0...

Blackout

Blackout gmerドライバを活用して、EDRやAVを効果的に無効化または強制終了します。 HVCIをスムーズにバイパスします。 サンプルはloldriversから取得されています: https://www.loldrivers.io/drivers/7ce8fb06-46eb-4f4f-90d5-5518a6561f15/ 使用方法 ドライバBlackout.sysを実行ファイルと同じパスに配置してください。 実行ファイルは管理者のコンテキストで実行する必要があります。 Blackout.exe -p Windows...

Reaper

「💀」 Reaper 소개 Reaper는 BYOVD취약한 드라이버를 직접 가져오기 드라이버 취약점을 악용하도록 설계된 개념 증명PoC입니다. 이 악성 기술은 합법적이면서도 취약한 드라이버를 대상 시스템에 삽입하여 공격자가 해당 드라이버를 악용해 악성 행위를 수행할 수 있도록 합니다. Reaper는 특히 kprocesshacker.sys 드라이버 버전 2.8.0.0에 존재하는 취약점을 악용하도록 설계되었으며, 이 드라이버의 약점을 이용하여 대상 시스템에 대한 권한 있는 접근 및 제어를 획득합니다. 참고: Reaper는 Window...

CVE-2025-1055-poc

CVE-2025-1055-poc CVE-2025-1055 および CVE-2025-52915 向けの PoC で、K7RKScan.sys を使用します。このPoCは、0x222018 IOCTLを使用して任意のプロセスを終了させます。 使い方 ドライバのインストール: sc.exe create K7RKScan1516.sys binPath=C:\Users\Administrator\Downloads\K7RKScan1516.sys type=kernel && sc.exe start K7RKScan1516.sys PoC の実行: exploit.exe...

CVE-2026-19193-PoC

CVE-2026-19193 - 概念実証（PoC） Jiangmin Antivirus のカーネルドライバー（kvcore.sys）における未認証ミニフィルターメッセージハンドラーを介した任意プロセス終了 影響を受ける対象 製品: Jiangmin Antivirus V21 コンポーネント: kvcore.sys（コアカーネルドライバー） バージョン: 1.23.6.27 SHA-256 ハッシュ: AE4ABB650C7DF1D3654AFC814617DE6F6589DC2C3BE434154B3BE0F6521E2259 深刻度 高 - 7.8...

CVE-2026-83663 Apache Thrift: TFramedTransport and THeaderTransport re-enter Read once per frame that carries no payload (Go)

Uncontrolled Recursion vulnerability in Apache Thrift go bindings. Both Go transports satisfy a read out of a buffered frame and, when that frame yields no payload bytes, read the next frame and call Read again instead of looping. A peer produces such a frame for 4 bytes in TFramedTransport...

CVE-2026-91784

cjbassi/gotop is vulnerable to local argument injection via process termination functionality. The process name is passed directly to pkill without sanitization. A local attacker can create a process with a crafted name beginning with -- e.g. containing a target user's UID. When the user running...

CVE-2026-91784 Argument Injection leading to arbitrary process termination in gotop

cjbassi/gotop is vulnerable to local argument injection via process termination functionality. The process name is passed directly to pkill without sanitization. A local attacker can create a process with a crafted name beginning with -- e.g. containing a target user's UID. When the user running...

CVE-2026-91784 Argument Injection leading to arbitrary process termination in gotop

cjbassi/gotop is vulnerable to local argument injection via process termination functionality. The process name is passed directly to pkill without sanitization. A local attacker can create a process with a crafted name beginning with -- e.g. containing a target user's UID. When the user running...

EUVD-2026-91318

cjbassi/gotop is vulnerable to local argument injection via process termination functionality. The process name is passed directly to pkill without sanitization. A local attacker can create a process with a crafted name beginning with -- e.g. containing a target user's UID. When the user running...

CVE-2026-91784

The cjbassi/gotop utility is vulnerable to local argument injection within its process termination functionality. The software fails to sanitize process names before passing them directly to the pkill command. A local attacker can exploit this by creating a process with a crafted name starting wi...

CVE-2018-6606

CVE-2018-6606 これは任意のPIDを終了します。 Windows 10 64-bit, Flare VMでテスト済み。 管理者権限が必要です。 いくつかの調整が必要な場合があります — resource.rcを参照してください。 ツールチェーン ダウンロード: https://github.com/brechtsanders/winlibsmingw/releases/download/15.2.0posix-13.0.0-ucrt-r6/winlibs-x8664-posix-seh-gcc-15.2.0-mingw-w64ucrt-13.0.0-r6.zip セットアップ...

BadRentdrv2

BadRentdrv2 私が悪用した脆弱なドライバー（BYOVD）で、市場のいくつかのEDRやアンチウイルスソフトウェアを無効化し、動作不能にすることができます。x32とx64の両方で動作します。 どのように動作するか？ より広い攻撃範囲を狙い、従来のx32アーキテクチャをターゲットにしてコンパイルします。 管理者権限のコマンドプロンプトで、次のコマンドラインを使用します： BadRentdrv2.exe これにより、保護されたプロセスを難なく強制終了できます。...

forti-research

Fortinet fortimon374.sys - 未認証の Kill コマンドによる PPL バイパス 概要 Fortinet の fortimon374.sys カーネルドライバ FortiClient の「anti-exploit」ミニフィルタ の脆弱性により、任意のローカル管理者が、未認証の通信ポートに 8 バイトのメッセージを送信するだけで、Windows Defender MsMpEng.exe や lsass.exe のような PPL Protected Process Light で保護されたプロセスを含む 任意の プロセスを終了させることができます。...

KillChain

KillChain ?? 免責事項: このプロジェクトは教育およびセキュリティ研究目的専用 です。作者は、このツールによって引き起こされた誤用、損害、または違法行為について一切の責任を負いません。明示的な許可を得た隔離されたラボ環境でのみ使用してください。 概要 KillChain は、脆弱なカーネルドライバー（ProcessMonitorDriver.sys、CVE-2026-0828）を利用して、ユーザーモードから保護されたプロセスを終了させるツールです。カスタム IOCTL インターフェースを介してカーネルと通信し、標準的なプロセス保護メカニズムをバイパスします。...

CVE-2025-60349

CVE-2025-60349: Pxscan 任意プロセス終了 Prevx v3.0.5.220 に問題が発見され、攻撃者が pxscan.sys ドライバに IOCTL コード 0x22E044 を送信することでサービス拒否を引き起こすことが可能です。レジストリキー HKEYLOCALMACHINE\System\CurrentControlSet\Services\pxscan\Files にリストされているプロセスはすべて終了されます。 2025年8月、Dylan Reuter によって発見されました。 参照:...

CVE-2026-3796

CVE-2026-3796 QAXウイルス除去ツールの2025年10月22日以前のバージョンにおいて、影響を受けるドライバQKSecureIOImp.sysは、呼び出し元プロセスのイメージに基づいてミニフィルタードライバとの通信を許可するかどうかを判断します。攻撃者は、DLLサイドローディングやプロセスインジェクションなどの手法を通じて正当な呼び出し元プロセスのイメージを偽装し、特定のペイロードを含むメッセージをミニフィルターに送信して、保護されたプロセスなどの任意のプロセスを終了させることができます。 背景...