sleepall

Trojaner basierend auf der Schwachstelle CVE-2024-28085 (https://people.rit.edu/sjf5462/6831711781/wall_2_27_2024.txt), die noch nirgendwo gepatcht wurde. Kern: bash unterstützt Escape-Sequenzen und wir können die Darstellung der Zeile im Terminal steuern. Der Trojaner überwacht Prozesse, sucht nach der PID des sudo-Befehls, ermittelt dessen Elternprozess, tötet den Wurzelprozess und schiebt eine gefälschte SUDO-Zeile unter.

Der Benutzer führt im Terminal den Befehl sudo <...> aus, und der Trojaner verändert dessen Prozess, sodass das Passwort nicht in sudo, sondern direkt ins Terminal eingegeben wird. Anschließend wird das Passwort an den Server gesendet.

Der Code wurde im Rahmen von Tests und zu Demonstrationszwecken erstellt. Der Autor übernimmt keine Verantwortung für Ihre weiteren Handlungen damit.

Build:

g++ -static sleepall.cpp -o sleepall
gcc server.c -o server

Screenshot des gefälschten Passwort-Prompts:

Screenshot dessen, was tatsächlich im Terminal passiert:

Gestattet für:

• arch
• alt 8 sp 10

Verboten:

• Centos 7

P.S.: Juhuu, funktioniert aber nur in bash (zsh nicht)