CVE-2007-4559 - Exploit Polemarch

Exploit entièrement fonctionnel pour le serveur Polemarch https://www.polemarch.org/, utilisant CVE-2007-4559, permettant :

• Injection d'un mineur de cryptomonnaie pour Monero utilisant TOR pour mieux se cacher.
• Injection d'un rootkit ciblant les outils d'administration système les plus courants.

POC

Preuve de concept utilisant https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4559 et basée sur les travaux de https://www.trellix.com/en-us/about/newsroom/stories/research/tarfile-exploiting-the-world.html.

Répertoires à attaquer

Nous voulons pouvoir déployer les fichiers suivants sur un serveur Polemarch :

• /usr/local/lib
  • -> rootkit.so : bibliothèque pour le préchargement
• /etc
  • -> ld.so.preload : fichier de configuration du chargeur
• /opt/polemarch/bin
  • -> polemarchctl : point d'entrée docker infecté
• /usr/bin
  • -> xmring : mineur
  • -> tor : tor
  • -> shellcode : shellcode obfusqué responsable du démarrage du mineur et de tor

Note : dans le véritable exploit, nous changerions certains noms pour éviter la détection.

Notes

• Les fichiers binaires DOIVENT avoir les permissions d'exécution
• Les tar ne peuvent pas être déployés deux fois
• Le malware sera placé dans un dossier auxiliaire qui sera lié symboliquement au dossier cible

Instructions

Afin de déployer le malware, nous devons mettre en place les éléments suivants :

• Compilation des binaires nécessaires
• Mise en place du serveur Polemarch et du serveur malveillant hébergeant le tar infecté
• Téléversement du tar infecté sur le serveur Polemarch

Compiler les binaires

Nous devrons compiler la bibliothèque partagée du rootkit et le shellcode :

$(rootkit): make
$(shellcode): gcc -z execstack -m32 -o shellcode shell.c

Serveur Polemarch et serveur malveillant

Nous avons créé un docker-compose qui va :

• Mettre en place un serveur Polemarch vulnérable sur http://localhost:8080
• Générer un tar infecté avec tous les fichiers nécessaires
• Mettre en place un serveur python auxiliaire hébergeant le tar malveillant sur http://energyplus.com/project.tar.gz (accessible uniquement depuis le docker)

$: docker compose build 
$: docker compose up -d

Téléverser le tar infecté

Connectez-vous au serveur polemarch en utilisant le mot de passe par défaut (admin/admin) et créez un projet avec le fichier tar compromis :

Maintenant, la prochaine fois que le docker sera redémarré, le mineur et tor seront exécutés dans le serveur polemarh.

Avis de non-responsabilité

Ce projet est uniquement à des fins de recherche et ne doit pas être utilisé pour des activités illégales ou malveillantes. Les créateurs de ce projet ne sont pas responsables des préjudices ou dommages causés par une mauvaise utilisation de ce logiciel.