Durchsuchbarer Inhalt von eqgrp-auction-file.tar.xz

• Originaldatei: https://mega.nz/#!zEAU1AQL!oWJ63n-D6lCuCQ4AY0Cv_405hX8kn7MEsa1iLH5UjKU
• Passphrase: CrDj"(;Va.*NdlnzB9M?@K2)#>deB7mN (wie von den ShadowBrokers offengelegt, Quelle)
• Diese Zusammenfassung wird von der Community bereitgestellt: Beschwerden/Lob an jvoisin @ dustri.org und @x0rz

⚠️ Einige Binärdateien könnten von Ihrem Antivirenprogramm erkannt werden

Verschachtelte Tar-Archive wurden im Ordner archive_files entpackt.

Inhalt

Unbekannt

• JACKLADDER
• DAMPCROWD
• ELDESTMYDLE
• SUAVEEYEFUL
• WATCHER
• YELLOWSPIRIT

Sonstiges

• DITTLELIGHT (HIDELIGHT) blendet das NOPEN-Fenster wieder ein, um Unix-Oracle-DB-Skripte auszuführen
• DUL Shellcode-Packer
• egg_timer Ausführungsverzögerer (äquivalent zu at)
• ewok snmpwalk-ähnlich?
• gr Web-Crontab-Manager? wtf. Die NSA sind ja richtig webscale, Alter
• jackladderhelper einfacher Port-Binder
• magicjack DES-Implementierung in Perl
• PORKSERVER inetd-basierter Server für das PORK-Implantat
• ri äquivalent zu rpcinfo
• uX_local Micro-X-Server, vermutlich für Fernverwaltung
• ITIME Ändert Datum/Uhrzeit der letzten Änderung einer Datei in einem Unix-Dateisystem

Remote-Code-Ausführung

Solaris

• CATFLAP Solaris 7/8/9 (SPARC und Intel) RCE (für eine MENGE von Versionen)
• EASYSTREET/CMSEX und cmsd Solaris rpc.cmsd Remote-Root
• EBBISLAND/ELVISCICADA/snmpXdmid und frown: CVE-2001-0236, Solaris 2.6-2.9 - snmpXdmid-Pufferüberlauf
• sneer: mibissa (Sun snmpd) RCE, mit DWARF-Symbolen :D
• dtspcdx_sparc dtspcd-RCE für SunOS 5. -5.8. Was für ein nutzloser Exploit
• TOOLTALK DEC, IRIX oder Sol2.6 oder früher Tooltalk-Pufferüberlauf-RCE
• VIOLENTSPIRIT RCE für den ttsession-Daemon in CDE auf Solaris 2.6-2.9 auf SPARC und x86
• EBBISLAND RCE Solaris 2.6 -> 2.10 Injiziert Shellcode in verwundbaren rpc-Dienst

Netscape-Server

• xp_ns-httpd NetScape-Server-RCE
• nsent RCE für NetScape Enterprise Server 4.1 für Solaris
• eggbasket ein weiterer NetScape-Enterprise-RCE, diesmal Version 3.5, vermutlich nur SPARC

FTP-Server

• EE proftpd 1.2.8 RCE, für RHL 7.3+/Linux, CVE-2011-4130? noch ein Grund, kein proftpd zu verwenden
• wuftpd wahrscheinlich CVE-2001-0550

Web

• ESMARKCONANT nutzt phpBB-Remote-Command-Execution aus (<2.0.11) CVE-2004-1315
• ELIDESKEW Bekannte öffentliche Schwachstelle in SquirrelMail Versionen 1.4.0 - 1.4.7
• ELITEHAMMER Läuft gegen RedFlag Webmail 4, ergibt Benutzer nobody
• ENVISIONCOLLISION RCE für phpBB (Derivat)
• EPICHERO RCE für Avaya Media Server
• COTTONAXE RCE zum Abrufen von Logs und Informationen auf LiteSpeed Web Server

Sonstiges

• calserver Spooler-RPC-basierte RCE
• EARLYSHOVEL RCE RHL7 mit sendmail CVE-2003-0681 CVE-2003-0694
• ECHOWRECKER/sambal: Samba 2.2 und 3.0.2a - 3.0.12-5 RCE (mit DWARF-Symbolen), für FreeBSD, OpenBSD 3.1, OpenBSD 3.2 (mit nicht ausführbarem Stack, zomg) und Linux. Wahrscheinlich CVE-2003-0201. Es gibt auch eine Solaris-Version
• ELECTRICSLIDE RCE (Heap-Overflow) in Squid, mit einem chinesisch aussehenden Vektor
• EMBERSNOUT ein Remote-Exploit gegen httpd-2.0.40-21 von Red Hat 9.0
• ENGAGENAUGHTY/apache-ssl-linux Apache2-mod-ssl-RCE (2008), SSLv2
• ENTERSEED Postfix-RCE, für 2.0.8 - 2.1.5
• ERRGENTLE/xp-exim-3-remote-linux Exim Remote-Root, wahrscheinlich CVE-2001-0690, Exim 3.22 - 3.35
• EXPOSITTRAG Exploit für pcnfsd Version 2.x
• extinctspinash: Chili!Soft ASP-Zeug RCE? und Cobalt RaQ auch?
• KWIKEMART (km-Binärdatei) RCE für die SSH1-Padding-crc32-Geschichte (https://packetstormsecurity.com/files/24347/ssh1.crc32.txt.html)
• prout (Miss-)Brauch des pcnfs-RPC-Programms (nur Version 2) (1999)
• slugger: RCE für verschiedene Drucker, sieht aus wie CVE-1999-0078
• statdx Redhat Linux 6.0/6.1/6.2 rpc.statd Remote-Root-Exploit (IA32)
• telex Telnetd-RCE für RHL? CVE-1999-0192?
• toffeehammer RCE für cgiecho, Teil von cgimail, nutzt fprintf aus
• VS-VIOLET Solaris 2.6 - 2.9, etwas im Zusammenhang mit XDMCP
• SKIMCOUNTRY Stiehlt Protokolldaten von Mobiltelefonen
• SLYHERETIC_CHECKS Prüft, ob ein Ziel bereit für SLYHERETIC ist (nicht enthalten)
• EMPTYBOWL RCE für MailCenter Gateway (mcgate) - eine Anwendung, die mit dem Asia Info Message Center-Mailserver geliefert wird; ein Pufferüberlauf ermöglicht es einem Angreifer, einen an den popen()-Aufruf übergebenen String zu kontrollieren; die Ausführung beliebiger Befehle funktioniert bekanntermaßen nur für AIMC Version 2.9.5.1
• CURSEHAPPY Parser für CDR (Call Detail Records) (siemens, alcatel, andere, die isb hki lhr Dateien enthalten), wahrscheinlich ein Upgrade von ORLEANSTRIDE
• ORLEANSTRIDE Parser für CDR (Call Detail Records)

Anti-Forensik

• toast: wtmps-Editor/Manipulator/Abfrager
• pcleans: pacctl-Manipulator/Reiniger
• DIZZYTACHOMETER: Ändert die RPM-Datenbank, wenn eine Systemdatei geändert wird, sodass die RPM-Überprüfung (>4.1) sich nicht beschwert
• DUBMOAT Manipuliert utmp
• scrubhands Aufräumtool nach dem Einsatz?
• Auditcleaner räumt audit.log auf

Kontrolle

Infiziert HP-UX, Linux, SunOS

• FUNNELOUT: datenbankbasierte Web-Backdoor für vbulletin
• hi UNIX-Bind-Shell
• jackpop Bind-Shell für SPARC
• NOPEN Backdoor? Eine RAT oder Post-Exploitation-Shell bestehend aus einem Client und einem Server, die Daten mit RC6 verschlüsselt Quelle** SunOS5.8
• SAMPLEMAN / ROUTER TOUCH Trifft eindeutig Cisco über eine Art Umleitung über ein Tool auf Port 2323... (dank an @cynicalsecurity)
• SECONDDATE Implantat für Linux/FreeBSD/Solaris/JunOS
• SHENTYSDELIGHT Linux-Keylogger
• SIDETRACK Implantat, das für PITCHIMPAIR verwendet wird
• SIFT Implantat für Solaris/Linux/FreeBSD
• SLYHERETIC SLYHERETIC ist ein leichtgewichtiges Implantat für AIX 5.1:-5.2 Verwendet Hide-in-Plain-Sight-Techniken, um Tarnung zu gewährleisten.
• STRIFEWORLD: Netzwerküberwachung für UNIX, muss als root gestartet werden. Strifeworld ist ein Programm, das Daten erfasst, die im Rahmen von TCP-Verbindungen übertragen werden, und die Daten zur Analyse im Speicher ablegt. Strifeworld rekonstruiert die tatsächlichen Datenströme und speichert jede Sitzung zur späteren Analyse in einer Datei.
• SUCTIONCHAR: 32- oder 64-Bit-Betriebssystem, Solaris SPARC 8,9, Kernel-Level-Implantat - transparentes, anhaltendes oder Echtzeit-Abfangen des Eingabe/Ausgabe-vnode-Datenverkehrs von Prozessen, in der Lage, ssh, telnet, rlogin, rsh, Passwort, Login, csh, su, … abzufangen
• STOICSURGEON Rootkit/Backdoor Linux MultiArchi
• INCISION Rootkit/Backdoor Linux Kann zu StoicSurgeon aufgerüstet werden (neuere Version)

CnC

• Seconddate_CnC: CnC für SECONDDATE
• ELECTRICSIDE wahrscheinlich eine große fette CnC
• NOCLIENT Scheint die CnC für NOPEN* zu sein
• DEWDROP

Privilegieneskalation

Linux