s3c/globalprotect-ca-cert-ipcProof-of-Concept-Exploit für CVE-2025-0117 in GlobalProtect, der über einen mit einer Hintertür versehenen Installer und DLL-Injection eine Privilegieneskalation auf SYSTEM erreicht.
c2us.exe - Startet einen Befehl als der laufende Benutzer in der Desktopsitzung des angemeldeten Benutzers. In diesem Fall startet es cmd.exe als SYSTEM in der Desktopsitzung des nicht privilegierten Benutzers. c2us.c - Quellcode für c2us.exe.
epinject.exe - Entry-Point-Injektor, der verwendet wird, um einen neuen Prozess zu starten und Code an dessen Einstiegspunkt zu injizieren. loadgpsend.bin - Payload, die mit epinject.exe in PanGPA.exe injiziert wird, um den Haupt-Exploit-Body, c:\windows\temp\gpsend.dll, auszuführen.
crypt.c - Krypto-Implementierung, kompatibel mit Globalprotect. gpcaupgrade.c - Haupt-Exploit-Code. gpupgrade.dll - Haupt-Exploit-DLL.
GlobalProtect.msi - Backdoor-Version des Installationsprogramms 6.3.2. Verwendet c2us.exe, um beim Ausführen des Exploits eine SYSTEM-Shell zu starten.
gpcaupgrade.bat - Führen Sie dies aus, um den Exploit auszuführen.
Nachdem der Exploit ausgeführt wurde, gibt es eine Verzögerung von 120 Sekunden, bevor GP den Update-Prozess startet. Wenn das Fenster nicht mit Fehlern schließt, ist der Exploit fehlgeschlagen. Wenn er erfolgreich ist, sollten vor dem Schließen einige Fehlermeldungen erscheinen, einige Fenster aufblinken und cmd.exe als SYSTEM gestartet werden. Dies kann mit dem Befehl whoami überprüft werden.
