sleepall

Troyano basado en la vulnerabilidad CVE-2024-28085 (https://people.rit.edu/sjf5462/6831711781/wall_2_27_2024.txt) que aún no se ha corregido en ninguna parte. Esencia: bash soporta códigos de escape y podemos controlar la forma de la línea en la terminal. El troyano escucha procesos y busca el pid del comando sudo, descubre su padre y mata el proceso raíz, inyectando una línea falsa de SUDO.

El usuario en la terminal ejecuta el comando sudo <...> y el troyano modifica su proceso obligándolo a ingresar la contraseña no en sudo, sino en la terminal. Luego la contraseña se envía al servidor.

El código fue creado con fines de prueba y educación, y el autor no se responsabiliza por sus acciones posteriores con él.

Build:

g++ -static sleepall.cpp -o sleepall
gcc server.c -o server

Imagen del prompt falso:

Imagen de lo que realmente sucede en la terminal:

Control de procesos permitido para el usuario en:

• arch
• alt 8 sp 10

Prohibido:

• Centos 7

P.D.: ¡Uiiii!, pero solo funciona en bash (zsh no)