EDRSandblast

EDRSandBlast EDRSandBlast는 서명된 취약한 드라이버를 무기화하여 EDR 탐지Notify Routine 콜백, Object Callbacks 및 ETW TI 공급자 및 LSASS 보호를 우회하기 위해 C로 작성된 도구입니다. 여러 사용자 모드 언후킹 기술도 구현되어 사용자 모드 모니터링을 회피합니다. 이번 릴리즈 기준으로, 사용자 모드--usermode와 커널 모드--kernelmode 기술의 조합을 사용하여 EDR 감시 하에 LSASS 메모리를 덤프했으며, 제품클라우드 콘솔에서 차단되거나 "OS 자격 증명...

BYOVD-DriverKiller

BYOVD-DriverKiller ⚠️ 警告 : このプロジェクトは厳密に教育的・デモンストレーション目的です。悪意のある目的で使用することを意図していません。目的は、リバースエンジニアリングの手法とWindowsドライバーのエクスプロイト手順を学ぶことです。 ここでは、d1rkSaadAhla https://github.com/SaadAhla が提供する演習を解くために私が取ったアプローチを説明します。この演習は、正規に署名され、ブロックリスト（HVCI、LOLBIN...）に存在しないドライバーに対してリバースエンジニアリングとエクスプロイトを行うというものです。...

kur

kur 这是一个简单的代码，可利用存在漏洞的已签名驱动程序，从用户模式进行内核模式内存读写。 它仅仅是在内核模式下利用 MmCopyVirtualMemory（一个未公开但最常见的 API 之一），从而无需担心内存页的保护机制，即可读取/写入任意用户模式内存。此外，它还附带一个函数，用于获取给定 PID 的进程句柄作为辅助功能。由于句柄的创建在内核模式下进行，我相信标准的访问检查和回调不会被触发。 本项目仅用于学习目的，不建议在虚拟机之外的环境中使用。 background 我在 uc 论坛上看到，这个特定驱动程序存在提权漏洞。 于是我开始亲自逆向该驱动程序，果然该驱动程序对其强大的...

GhostKatz

GhostKatz 脆弱な署名済みドライバーを悪用し、MmMapIoSpace を介した物理メモリ読み取りプリミティブを使用して、LSASS の資格情報を物理メモリから直接抽出します。従来のユーザーモード検出機能をバイパスします。 このツールは Julian Peña と Eric Esquivel の協力により開発されました。 このリリースの GhostKatz は、既に公開された脆弱性のあるドライバーを使用しています。最良の結果を得るには、GhostKatz...

TopazTerminator

TopazTerminator 又一个驱动被烧了... 我之前一直藏着 wsftprm.sys 驱动 😉 但既然有人发了公开的 PoC，我也就不再藏着掖着了。我们都知道它很快就会被加入驱动黑名单，所以我用 C 语言实现了同样的功能。 该项目利用存在漏洞的 wsftprm.sys（Topaz Antifraud 内核驱动）来终止 Windows 上的受保护进程（例如杀毒软件/EDR 服务）。 截至 2026 年 1 月 ，wsftprm.sys（SHA-256:...

AV-EDR-Killer

AV/EDR キラー https://github.com/user-attachments/assets/1eda3340-2af2-4136-b74e-be7a3f4b3924 このプロジェクトは、正規の署名されたドライバーを武器化してカーネルレベルのアクセスを取得する方法を示しています。 🚨 脆弱なドライバー: wsftprm.sys は、TPZ SOLUCOES DIGITAIS LTDA によって署名され、以前に CVE-2023-52271 として公開されたローカル特権昇格の脆弱性が露呈していましたが、何故かまだ Microsoft のドライバーブロックリストに載っていません...

CVE-2020-15368

脆弱なWindowsドライバを悪用する方法 CVE-2020-15368 のエクスプロイトおよび Proof of Concept PoC。ASRockはRGBコントローラー設定ツールのためにrweverythingドライバを再パッケージ化し、署名しました。彼らはioctlを暗号化することで「保護」しています...笑。私たちは昨年の夏に偶然このCVEを発見しましたが、私の知る限りこのドライバはまだパッチされていません。影響はもちろんカーネルでの任意コード実行などです。それではこの「0day」をお楽しみください。笑...

CVE-2021-27965

CVE-2021-27965 用于通过生成系统 cmd 来利用 CVE-2021-27965 实现 LPE 的简单 PoC。 https://vulners.com/cve/CVE-2021-27965 在已签名的 MICSYS Windows 驱动程序（MsIo64.sys）中发现了一个问题，该问题可能导致整个本地系统受损。驱动程序的 ioctl 分发例程在 所有 IOCTL 代码中都存在基于栈的缓冲区溢出，并且还缺少对用户提供的缓冲区的验证。 IOCTL 任何人都可以创建句柄并向这些破坏 Windows 安全模型的 IOCTL 代码发起 ioctl 请求： 0x80102040 -...

CVE-2026-36425

CVE-2026-36425 : OPSWAT AppRemover 任意プロセス終了 署名されたOPSWATカーネルドライバで、要求に応じて任意のプロセスを強制終了します。管理者権限不要、権限チェックなし、問答無用。EDR、アンチウイルス、PPLで保護されたプロセスを指定すると、即座に終了します。3種類の異なる強制終了方法があり、すべてカーネルモードで実行され、任意のローカルユーザーからの単一のIOCTLでトリガーされます。脆弱なドライバのバリアントが16個特定され、すべて有効な署名が付与されています。 ⚠️...

0xKern3lCrush

💀 0xKern3lCrush-M4te-CVE-2026-0828 Windows BYOVD 研究与端点侦察笔记 严格教育/安全研究仓库。 目标：通过公开披露记录和理解自带易受攻击驱动程序 BYOVD 技术 — 不包含任何可工作的漏洞利用代码 。 本仓库收集： 安全的用户态侦察代码（通过 Toolhelp32 API 进行进程枚举） 针对真实 BYOVD 案例的静态分析成果和笔记 不含内核态代码、IOCTL 调用逻辑或进程终止例程 ⚠️ 关键伦理与法律警告（阅读任何内容之前） 本仓库 不是 漏洞利用投递机制。 不要...

Mustang Panda Adds Signed Windows Rootkit to CoolClient Backdoor for Stealth

The threat actor known as HoneyMyteaka Mustang Panda has been observed deploying an updated version of the CoolClient backdoor with a signed Windows kernel-mode rootkit that can hide and protect malicious processes, files, registry objects, and command-and-control C2 network information. Russian...

Security update for nvidia-modprobe.cuda, nvidia-open-driver-G06-signed, nvidia-persistenced.cuda

This update for nvidia-modprobe.cuda, nvidia-open-driver-G06-signed, nvidia-persistenced.cuda fixes the following issues: Changes in nvidia-open-driver-G06-signed: updated CUDA variant to version 580.126.09 update non-CUDA variant to version 580.126.09 bsc1255858 update non-CUDA variant to versio...

Mustang Panda Uses Signed Kernel-Mode Rootkit to Load TONESHELL Backdoor

The Chinese hacking group known as Mustang Panda aka HoneyMyte has leveraged a previously undocumented kernel-mode rootkit driver to deliver a new variant of backdoor dubbed TONESHELL in a cyber attack detected in mid-2025 targeting an unspecified entity in Asia. The findings come from Kaspersky,...

CVE-2025-61155

CVE-2025-61155 affects Hotta Studio’s GameDriverX64.sys kernel-mode anti-cheat driver (versions 7.23.4.7 and earlier). The vulnerability is in an IOCTL handler: an untrusted user-mode process can open the driver and send crafted IOCTLs, which execute in kernel mode with insufficient authenticatio...

EUVD-2024-51042

Malicious code in bioql PyPI...

CVE-2024-12668 Velocidex WinPmem Out of Bounds Write Vulnerability

Velocidex WinPmem versions below 4.1 suffer from an Out of Bounds Write vulnerability. By using an IO Control, a user space program can trick the driver into writing a 0 into any chosen memory location. In conjunction with information leakage from the WinPmem driver, attackers can discover the...

Threat Group UNC3944 Abusing Azure Serial Console for Total VM Takeover

A financially motivated cyber actor has been observed abusing Microsoft Azure Serial Console on virtual machines VMs to install third-party remote management tools within compromised environments. Google-owned Mandiant attributed the activity to a threat group it tracks under the name UNC3944 ,...

EDRSandblast - Tool That Weaponize A Vulnerable Signed Driver To Bypass EDR Detections And LSASS Protections

EDRSandBlast is a tool written in C that weaponize a vulnerable signed driver to bypass EDR detections Kernel callbacks and ETW TI provider and LSASS protections. Multiple userland unhooking techniques are also implemented to evade userland monitoring. As of release, combination of userland...

Backstab - A Tool To Kill Antimalware Protected Processes

Have these local admin credentials but the EDR is standing in the way? Unhooking or direct syscalls are not working against the EDR? Well, why not just kill it? Backstab is a tool capable of killing antimalware protected processes by leveraging sysinternals’ Process Explorer ProcExp driver, which...

Scranos: New Rapidly Evolving Rootkit-Enabled Spyware Discovered

A new powerful rootkit-enabled spyware operation has been discovered wherein hackers are distributing multifunctional malware disguised as cracked software or trojanized app posing as legitimate software like video players, drivers and even anti-virus products. While the rootkit malware—dubbed...