CVE-2007-4559 - Polemarch-Exploit

Voll funktionsfähiger Exploit für den Polemarch-Server https://www.polemarch.org/, unter Verwendung von CVE-2007-4559, der Folgendes ermöglicht:

• Einschleusen eines Cryptominers für Monero unter Verwendung von TOR zur besseren Tarnung.
• Einschleusen eines Rootkits, das auf die gängigsten Systemadministrationswerkzeuge abzielt.

POC

Proof of Concept unter Verwendung von https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4559 und basierend auf der Arbeit von https://www.trellix.com/en-us/about/newsroom/stories/research/tarfile-exploiting-the-world.html.

Verzeichnisse für den Angriff

Wir möchten die folgenden Dateien auf einem Polemarch-Server bereitstellen können:

• /usr/local/lib
  • -> rootkit.so: Bibliothek zur Durchführung des Preloadings
• /etc
  • -> ld.so.preload: Lader-Konfigurationsdatei
• /opt/polemarch/bin
  • -> polemarchctl: infizierter Docker-Einstiegspunkt
• /usr/bin
  • -> xmring: Miner
  • -> tor: tor
  • -> shellcode: verschleierter Shellcode, der für das Starten des Miners und von tor verantwortlich ist

Hinweis: Im echten Exploit würden wir einige Namen ändern, um einer Erkennung zu entgehen.

Hinweise

• Binärdateien MÜSSEN ausführbare Berechtigungen haben
• Tars können nicht zweimal bereitgestellt werden
• Die Malware wird in einem Hilfsverzeichnis abgelegt, das mit dem Zielverzeichnis verknüpft wird (Symlink)

Anleitung

Um die Malware bereitzustellen, müssen wir Folgendes einrichten:

• Kompilierung der erforderlichen Binärdateien
• Einrichten des Polemarch-Servers und eines bösartigen Servers, der das infizierte Tar-Archiv hostet
• Hochladen des infizierten Tar-Archivs auf den Polemarch-Server

Binärdateien kompilieren

Wir müssen die Rootkit-Share-Library und den Shellcode kompilieren:

$(rootkit): make
$(shellcode): gcc -z execstack -m32 -o shellcode shell.c

Polemarch-Server und bösartiger Server

Wir haben ein Docker-Compose erstellt, das Folgendes tun wird:

• Einen verwundbaren Polemarch-Server unter http://localhost:8080 einrichten
• Ein infiziertes Tar-Archiv mit allen erforderlichen Dateien generieren
• Einen Hilfs-Python-Server einrichten, der das bösartige Tar-Archiv unter http://energyplus.com/project.tar.gz hostet (nur aus dem Docker heraus erreichbar)

$: docker compose build 
$: docker compose up -d

Hochladen des infizierten Tar-Archivs

Melden Sie sich mit dem Standardpasswort (admin/admin) am Polemarch-Server an und erstellen Sie ein Projekt mit der kompromittierten Tar-Datei:

Wenn der Docker das nächste Mal restarted wird, werden der Miner und tor auf dem polemarh Server ausgeführt.

Haftungsausschluss

Dieses Projekt dient ausschließlich Forschungszwecken und sollte nicht für illegale oder böswillige Aktivitäten verwendet werden. Die Ersteller dieses Projekts übernehmen keine Verantwortung für Schäden, die durch den Missbrauch dieser Software entstehen.