OPSWAT AppRemover 软件 ardrv.sys，CVE-2026-36425，Exploit/Vulndriver，帮反馈卡巴

3306-1

来源：https://www.52pojie.cn/thread-2117771-1-1.html
发现：逐光者
抄送：@火绒工程师
描述：1A13DE833544798A 并未完全通杀所有变体

发现者描述

1. Windows 安全中心
   
2. 此驱动程序已被阻止
   
3. ardrv.sys 未通过 Windows 驱动程序策略。
   
4. 了解详细信息
   
5. 
   
6. ardrv 服务
   
7. ardrv
   
8. 未知文件
   
9. D:\??\C:\Drivers\MdudrUu\ardrv.sys
   
10. null
    
11. 自动
    
12. 已停止

复制代码

文件指纹
ardrv_5.sys
大小: 17744 字节 : 17 KiB
CRC32: 43EFC6C9
CRC64: DF61C06166732EC1
XXH64: 7C0B2C879DECF252
SHA256: 07c5209bf83065fe760f4fee4ed2308b0c523671f68ca73a3854c2c8c28c0541

变体参考
https://github.com/redteamfortress/CVE-2026-36425

变体哈希
０１　0B4C5A2D24810748DE8CE6FB3D6A3E8ACD0305272D6425FA054632410D23EC80
０２　1C5129B4D63F2D5252B5B02A0A7D655DAC3B6EAC23DD4ED92B4DD55F243387FF
０３　4D07B6423F4D5D80D2DAEC8FAED7ECC40855339BEE95C26289179C1FD083078E
０４　6B208CE68BA3F6C788BD89BA677EBF1C2407A55F9F43A42EA7207635634BAF66
０５　07C5209BF83065FE760F4FEE4ED2308B0C523671F68CA73A3854C2C8C28C0541
０６　7B3F8FA5844D829142002D47C2DF8573C7D67DEFE4171414C6A015A38AFE55F5
０７　9F326EDE322930A7D5E149FA8720802B0623C1972DC54E41A2A73608FB6810DD
０８　34AD901B4FEA05DA301EBB619FA48CFAC058720E41DB71B3FCA1C47763BAE066
０９　4574CF50DBE2FBCE849881E8875297753CE2E240C312E01B3B461D80DF063BBE
１０　75454A8583EA2A5B6C7711E9BF32C61B8A7E902F5C429FCBE36673CCC076E910
１１　551254A5E59DF92E6049867162633E3E476CDF5999D05C3E23A57C98BE03F475
１２　7504887E1E195AD585CFFA5B6A5034161A7CC49F351123D60DEF79302BDB8326
１３　33233988D8C735FDF1162E043ED1E6FFF62E7D6102C5BD300561D71FD32526F3
１４　59080957DE2519F5013BE8CCF0B9012DC97AD692E69578CB3F60148C528BDBB1
１５　D82108E6578F4866D7114D6847282C04F0B146809BC66DED3300FE993B42D20F
１６　E3CB9F52A4FDE53FC886DC35D41BB36E8B993C74826389D22440B92D94480A6D

域　名　opswat[.]com
注册商　GoDaddy.com, LLC
注册人　OPSWAT Inc.
邮　箱
地　址　615 Channelside Drive, Suite 201, Tampa, FL 33602 USA
参　考　z0011657f849e24031b3dfc9892f1047
注册日　2002-04-03 16:38:39 UTC+8
过期日　2033-08-10 19:59:59 UTC+8
更新日　2025-03-21 20:56:48 UTC+8
IANA_ID　146
状　态　客户端禁止删除
　　　　客户端禁止续费
　　　　客户端禁止转移
　　　　客户端禁止更新
DNS　　dns1[.]p08.nsone[.]net
　　　　dns2[.]p08.nsone[.]net
　　　　dns3[.]p08.nsone[.]net
　　　　dns4[.]p08.nsone[.]net
DNSSEC　未配置

火绒扫描（我自己的本地扫描结果）
6.0.11.1 版本
07-17 19:42 病毒库

2026/07/18 09:58:53
病毒防护
下载保护
发现病毒Exploit/Vulndriver,已处理

病毒名称：Exploit/Vulndriver
病毒ID：1A13DE833544798A
病毒路径：ardrv_5.sys
　　　　　ardrv_10.sys
　　　　　ardrv_12.sys
操作结果：已处理，删除文件（易受攻击利用漏洞驱动）

数签信息
OPSWAT, Inc.
2017 年 10 月 03 日，06 点 52 分 02 秒
Symantec Class 3 SHA256 Code Signing CA 签发
SHA1 摘要算法，RSA 摘要加密算法
证书序列号：1c a9 cc 01 74 7a 11 b1 ea af 10 3c 8d 9a 9e 6c

客观描述
白（OPSWAT）加黑（本地利用未鉴权）

漏洞评级
中危

首次发布
2026-07-16

漏洞信息
https://www.knowsafe.com/ti/info/0/1010663
https://www.cve.org/CVERecord?id=CVE-2026-36425
https://www.cnnvd.org.cn/home/globalSearch?keyword=CNNVD-2026-90537440

ＰＤＢ调试符
x:\buildagent\work\34766b76f307303b\removal\ardrv\objfre_win7_amd64\amd64\ardrv.pdb

文件说明
产品名称
AppRemover Driver

类型
系统文件

文件版本
2017.10.2.1551

产品版本
4.3.2.1

版权
© OPSWAT,Inc. All rights reserved.

原始文件名
ardrv.sys

语言
英语(美国)

产品官网
https://chinese.opswat.com/products/oesis-framework/application-removal

官方分类
OPSWAT OEM 解决方案／OESIS 框架／AppRemover

是否付费
是

付费产品
嵌入式 Endpoint

涉及歧视
是

歧视来源
产品页脚表单

歧视原因
将港澳台标记为国家

主观分类
类软件管家，一键识别／卸载／清理工具

数据库已识别
６２４款

支持卸载杀软示例
火绒／３６０系列／百度／金山／瑞星／卡巴／毛豆
诺顿／迈克菲／大蜘蛛／比特梵德等，共计３０７款

产品描述


jotti
https://virusscan.jotti.org/zh-CN/filescanjob/d5ti5dtu09
https://virusscan.jotti.org/zh-CN/filescanjob/p9tzhxrzg1

奇安信
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AZ9y9Zj_mTITNisAIIcP
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AZ9zaMlkVo2htHHsiXG0

国计病协
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=826c6d2e3d80f2d43f7977f998525ad3
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=8066658e1a09a6fa245f5e4bb75de378

virscan
https://www.virscan.org/report/07c5209bf83065fe760f4fee4ed2308b0c523671f68ca73a3854c2c8c28c0541
https://www.virscan.org/report/07ad8665b97077739bc1ecd4adc899d9bc1ca5b5e618e2fe6a224d726e88275c

virustotal
https://www.virustotal.com/gui/file/07c5209bf83065fe760f4fee4ed2308b0c523671f68ca73a3854c2c8c28c0541

微步
https://s.threatbook.com/report/url/44219b9c4614cf6226563e94225a822c
https://s.threatbook.com/report/file/07c5209bf83065fe760f4fee4ed2308b0c523671f68ca73a3854c2c8c28c0541
https://s.threatbook.com/report/file/07ad8665b97077739bc1ecd4adc899d9bc1ca5b5e618e2fe6a224d726e88275c

天穹
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=165ca6955b35f91d1e95a7db7334dd1f&sk=65257111
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=92e6ea59759201bd20a6cf43c67e4409&sk=73041596

卡巴（请协助反馈，目前卡巴报告为安全）
https://opentip.kaspersky.com/07C5209BF83065FE760F4FEE4ED2308B0C523671F68CA73A3854C2C8C28C0541/results?tab=upload
https://opentip.kaspersky.com/07AD8665B97077739BC1ECD4ADC899D9BC1CA5B5E618E2FE6A224D726E88275C/results?tab=upload

样本
提取码：95734113／21945943，解压码：infected

1. https://c.wss.ink/f/kesz969h4h0?pwd=95734113
   
2. https://c.wss.ink/f/ketmkzwgg85?pwd=21945943

复制代码

ulyanov2233

卡巴是做驱动层级对抗的，你可以试试用这个驱动卸载卡巴，如果卡巴被删了才需要反馈

吃瓜群众第123位

趋势科技云端版 kill 1x

lsop1349987

avast Avira ESET Drweb最严格设置 EMSI 绿盟 WEBROOT  安天智甲 加驱后被杀
卡巴PDM，断网非最新病毒库，且只在结束卡巴相关进程时触发
火绒默认被杀。hips可拦截修改驱动/服务项但需开启该规则，允许后被杀
360联网下杀exe，断网不杀，单步主防拦截同火绒，允许后被杀
360没开核晶

c199529

腾讯电脑管家18

不报毒