CVE-2007-4559 - Exploit de Polemarch

Exploit completamente funcional para el servidor Polemarch https://www.polemarch.org/, usando CVE-2007-4559, que permite:

• Inyección de un criptominero para monero usando TOR para mejor ocultación.
• Inyección de un rootkit dirigido a las herramientas de administración del sistema más comunes.

POC

Prueba de concepto usando https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4559 y basado en el trabajo de https://www.trellix.com/en-us/about/newsroom/stories/research/tarfile-exploiting-the-world.html.

Directorios a atacar

Queremos poder desplegar los siguientes archivos en un servidor Polemarch:

• /usr/local/lib
  • -> rootkit.so: biblioteca para realizar la precarga
• /etc
  • -> ld.so.preload: archivo de configuración del cargador
• /opt/polemarch/bin
  • -> polemarchctl: punto de entrada docker infectado
• /usr/bin
  • -> xmring: minero
  • -> tor: tor
  • -> shellcode: shellcode ofuscado responsable de iniciar el minero y tor

Nota: en el exploit real cambiaríamos algunos nombres para evitar detección.

Notas

• Los archivos binarios DEBEN tener permisos de ejecución
• Los tarballs no se pueden desplegar dos veces
• El malware se colocará en una carpeta auxiliar que estará enlazada simbólicamente a la carpeta destino

Instrucciones

Para desplegar el malware tendremos que configurar lo siguiente:

• Compilación de los binarios necesarios
• Configurar el servidor Polemarch y un servidor malicioso que aloje el tar infectado
• Subir el tar infectado al servidor Polemarch

Compilar binarios

Necesitaremos compilar la biblioteca compartida del rootkit y el shellcode:

$(rootkit): make
$(shellcode): gcc -z execstack -m32 -o shellcode shell.c

Servidor Polemarch y servidor malicioso

Hemos creado un docker-compose que:

• Configurará un servidor Polemarch vulnerable en http://localhost:8080
• Generará un tar infectado con todos los archivos necesarios
• Configurará un servidor python auxiliar que aloja el tar malicioso en http://energyplus.com/project.tar.gz (accesible solo desde el docker)

$: docker compose build 
$: docker compose up -d

Subir tar infectado

Inicie sesión en el servidor polemarch usando la contraseña predeterminada (admin/admin) y cree un proyecto con el archivo tar comprometido:

Ahora, la próxima vez que el docker se reinice, el minero y tor se ejecutarán en el servidor polemarh.

Descargo de responsabilidad

Este proyecto es solo para fines de investigación y no debe utilizarse para actividades ilegales o maliciosas. Los creadores de este proyecto no son responsables de ningún daño o perjuicio causado por el mal uso de este software.