Contenu navigable de eqgrp-auction-file.tar.xz

• Fichier original : https://mega.nz/#!zEAU1AQL!oWJ63n-D6lCuCQ4AY0Cv_405hX8kn7MEsa1iLH5UjKU
• Passphrase : CrDj"(;Va.*NdlnzB9M?@K2)#>deB7mN (comme divulguée par les ShadowBrokers, source)
• Ce résumé est fourni par la communauté : plaintes/crédits à jvoisin @ dustri.org et @x0rz

⚠️ Certains binaires peuvent être détectés par votre antivirus

Les archives Tar imbriquées ont été décompressées dans le dossier archive_files.

Contenu

Inconnu

• JACKLADDER
• DAMPCROWD
• ELDESTMYDLE
• SUAVEEYEFUL
• WATCHER
• YELLOWSPIRIT

Divers

• DITTLELIGHT (HIDELIGHT) affiche la fenêtre NOPEN pour exécuter des scripts oracle db unix
• DUL packer de shellcode
• egg_timer différeur d'exécution (équivalent à at)
• ewok similaire à snmpwalk ?
• gr gestionnaire de crontab Web ? wtf. La NSA est webscale, mec
• jackladderhelper simple binder de port
• magicjack implémentation de DES en Perl
• PORKSERVER serveur basé sur inetd pour l'implant PORK
• ri équivalent à rpcinfo
• uX_local serveur Micro X, probablement pour l'administration à distance
• ITIME Modifie la date/heure de la dernière modification d'un fichier sur un système de fichiers unix

Exécution de code à distance

Solaris

• CATFLAP RCE Solaris 7/8/9 (SPARC et Intel) (pour un LOT de versions)
• EASYSTREET/CMSEX et cmsd root distant Solaris rpc.cmsd
• EBBISLAND/ELVISCICADA/snmpXdmid et frown : CVE-2001-0236, Solaris 2.6-2.9 - dépassement de tampon snmpXdmid
• sneer : mibissa (snmpd Sun) RCE, avec les symboles DWARF :D
• dtspcdx_sparc RCE dtspcd pour SunOS 5. -5.8. quel exploit inutile
• TOOLTALK RCE par dépassement de tampon Tooltalk pour DEC, IRIX, ou Sol2.6 ou antérieur
• VIOLENTSPIRIT RCE pour le démon ttsession de CDE sur Solaris 2.6-2.9 sur SPARC et x86
• EBBISLAND RCE Solaris 2.6 -> 2.10 injection de shellcode dans un service rpc vulnérable

Serveur Netscape

• xp_ns-httpd RCE serveur NetScape
• nsent RCE pour NetScape Enterprise server 4.1 sur Solaris
• eggbasket une autre RCE NetScape Enterprise, cette fois version 3.5, probablement SPARC uniquement

Serveurs FTP

• EE RCE proftpd 1.2.8, pour RHL 7.3+/Linux, CVE-2011-4130 ? une raison de plus de ne pas utiliser proftpd
• wuftpd probablement CVE-2001-0550

Web

• ESMARKCONANT exploite l'exécution de commandes à distance de phpBB (<2.0.11) CVE-2004-1315
• ELIDESKEW vulnérabilité publique connue dans SquirrelMail versions 1.4.0 - 1.4.7
• ELITEHAMMER s'exécute contre RedFlag Webmail 4, donne l'utilisateur nobody
• ENVISIONCOLLISION RCE pour phpBB (dérivé)
• EPICHERO RCE pour Avaya Media Server
• COTTONAXE RCE pour récupérer les journaux et informations sur LiteSpeed Web Server

Divers

• calserver RCE basée sur le spooler RPC
• EARLYSHOVEL RCE RHL7 utilisant sendmail CVE-2003-0681 CVE-2003-0694
• ECHOWRECKER/sambal : RCE samba 2.2 et 3.0.2a - 3.0.12-5 (avec les symboles DWARF), pour FreeBSD, OpenBSD 3.1, OpenBSD 3.2 (avec une pile non exécutable, zomg), et Linux. Probablement CVE-2003-0201. Il existe aussi une version Solaris
• ELECTRICSLIDE RCE (dépassement de tas) dans Squid, avec un vecteur d'apparence chinoise
• EMBERSNOUT un exploit distant contre httpd-2.0.40-21 de Red Hat 9.0
• ENGAGENAUGHTY/apache-ssl-linux RCE Apache2 mod-ssl (2008), SSLv2
• ENTERSEED RCE Postfix, pour 2.0.8 - 2.1.5
• ERRGENTLE/xp-exim-3-remote-linux root distant Exim, probablement CVE-2001-0690, Exim 3.22 - 3.35
• EXPOSITTRAG exploit pcnfsd version 2.x
• extinctspinash : RCE pour Chili!Soft ASP ? et Cobalt RaQ aussi ?
• KWIKEMART (binaire km) RCE pour le truc de padding crc32 SSH1 (https://packetstormsecurity.com/files/24347/ssh1.crc32.txt.html)
• prout (ab)us du programme RPC pcnfs (version 2 uniquement) (1999)
• slugger : RCE sur diverses imprimantes, ressemble à CVE-1999-0078
• statdx exploit root distant rpc.statd Redhat Linux 6.0/6.1/6.2 (IA32)
• telex RCE Telnetd pour RHL ? CVE-1999-0192 ?
• toffeehammer RCE pour cgiecho partie de cgimail, exploite fprintf
• VS-VIOLET Solaris 2.6 - 2.9, quelque chose lié à XDMCP
• SKIMCOUNTRY vole les données de journaux des téléphones mobiles
• SLYHERETIC_CHECKS vérifie si une cible est prête pour SLYHERETIC (non inclus)
• EMPTYBOWL RCE pour MailCenter Gateway (mcgate) - une application fournie avec le serveur de messagerie Asia Info Message Center ; le dépassement de tampon permet à un attaquant de contrôler une chaîne passée à l'appel popen() ; l'exécution arbitraire de commandes n'est connue pour fonctionner que sur AIMC Version 2.9.5.1
• CURSEHAPPY analyseur de CDR (enregistrements de détail des appels) (siemens, alcatel, autres contenant des fichiers isb hki lhr) probablement une mise à niveau d'ORLEANSTRIDE
• ORLEANSTRIDE analyseur de CDR (enregistrements de détail des appels)

Anti-forensique

• toast : éditeur/manipulateur/interrogateur wtmps
• pcleans : manipulateur/nettoyeur pacctl
• DIZZYTACHOMETER : modifie la base de données RPM lorsqu'un fichier système est modifié afin que la vérification RPM (>4.1) ne se plaigne pas
• DUBMOAT manipuler utmp
• scrubhands outil de nettoyage post-opération ?
• Auditcleaner nettoie audit.log

Contrôle

Iting HP-UX, Linux, SunOS

• FUNNELOUT : backdoor web basée sur base de données pour vbulletin
• hi shell bind UNIX
• jackpop shell bind pour SPARC
• NOPEN backdoor ? Un RAT ou shell de post-exploitation composé d'un client et d'un serveur qui chiffre les données avec RC6 source** SunOS5.8
• SAMPLEMAN / ROUTER TOUCH frappe clairement Cisco via une sorte de redirection via un outil sur le port 2323... (merci à @cynicalsecurity)
• SECONDDATE implant pour Linux/FreeBSD/Solaris/JunOS
• SHENTYSDELIGHT keylogger Linux
• SIDETRACK implant utilisé pour PITCHIMPAIR
• SIFT implant pour Solaris/Linux/FreeBSD
• SLYHERETIC SLYHERETIC est un implant léger pour AIX 5.1:-5.2. Utilise des techniques de dissimulation en clair (Hide-in-Plain-Sight) pour assurer la furtivité.
• STRIFEWORLD : surveillance réseau pour UNIX, doit être lancé en root. Strifeworld est un programme qui capture les données transmises dans le cadre de connexions TCP et les stocke en mémoire pour analyse. Strifeworld reconstruit les flux de données réels et stocke chaque session dans un fichier pour analyse ultérieure.
• SUCTIONCHAR : OS 32 ou 64 bits, solaris sparc 8,9, implant au niveau du noyau - interception transparente, continue ou en temps réel du trafic vnode d'entrée/sortie des processus, capable d'intercepter ssh, telnet, rlogin, rsh, password, login, csh, su, …
• STOICSURGEON rootkit/backdoor Linux MultiArchi
• INCISION rootkit/backdoor Linux Peut être mis à niveau vers StoicSurgeon (version plus récente)

CnC

• Seconddate_CnC : CnC pour SECONDDATE
• ELECTRICSIDE probablement un gros CnC bien massif
• NOCLIENT semble être le CnC pour NOPEN*
• DEWDROP