Contenu navigable de eqgrp-auction-file.tar.xz

• Fichier original : https://mega.nz/#!zEAU1AQL!oWJ63n-D6lCuCQ4AY0Cv_405hX8kn7MEsa1iLH5UjKU
• Passphrase : CrDj"(;Va.*NdlnzB9M?@K2)#>deB7mN (comme divulguée par les ShadowBrokers, source)
• Ce résumé est fourni par la communauté : plaintes/crédits à jvoisin @ dustri.org et @x0rz

⚠️ Certains binaires peuvent être détectés par votre antivirus

Les archives Tar imbriquées ont été décompressées dans le dossier archive_files.

Contenu

Inconnu

• JACKLADDER
• DAMPCROWD
• ELDESTMYDLE
• SUAVEEYEFUL
• WATCHER
• YELLOWSPIRIT

Divers

• DITTLELIGHT (HIDELIGHT) affiche la fenêtre NOPEN pour exécuter des scripts oracle db unix
• DUL packer de shellcode
• egg_timer différeur d'exécution (équivalent à at)
• ewok similaire à snmpwalk ?
• gr gestionnaire de crontab Web ? wtf. La NSA est webscale, mec
• jackladderhelper simple binder de port
• magicjack implémentation de DES en Perl
• PORKSERVER serveur basé sur inetd pour l'implant PORK
• ri équivalent à rpcinfo
• uX_local serveur Micro X, probablement pour l'administration à distance
• ITIME Modifie la date/heure de la dernière modification d'un fichier sur un système de fichiers unix

Exécution de code à distance

Solaris

• CATFLAP RCE Solaris 7/8/9 (SPARC et Intel) (pour un LOT de versions)
• EASYSTREET/CMSEX et cmsd root distant Solaris rpc.cmsd
• EBBISLAND/ELVISCICADA/snmpXdmid et frown : CVE-2001-0236, Solaris 2.6-2.9 - dépassement de tampon snmpXdmid
• sneer : mibissa (snmpd Sun) RCE, avec les symboles DWARF :D
• dtspcdx_sparc RCE dtspcd pour SunOS 5. -5.8. quel exploit inutile
• TOOLTALK RCE par dépassement de tampon Tooltalk pour DEC, IRIX, ou Sol2.6 ou antérieur
• VIOLENTSPIRIT RCE pour le démon ttsession de CDE sur Solaris 2.6-2.9 sur SPARC et x86
• EBBISLAND RCE Solaris 2.6 -> 2.10 injection de shellcode dans un service rpc vulnérable

Serveur Netscape

• xp_ns-httpd RCE serveur NetScape
• nsent RCE pour NetScape Enterprise server 4.1 sur Solaris
• eggbasket une autre RCE NetScape Enterprise, cette fois version 3.5, probablement SPARC uniquement

Serveurs FTP

• EE RCE proftpd 1.2.8, pour RHL 7.3+/Linux, CVE-2011-4130 ? une raison de plus de ne pas utiliser proftpd
• wuftpd probablement CVE-2001-0550

Web

• ESMARKCONANT exploite l'exécution de commandes à distance de phpBB (<2.0.11) CVE-2004-1315
• ELIDESKEW vulnérabilité publique connue dans SquirrelMail versions 1.4.0 - 1.4.7
• ELITEHAMMER s'exécute contre RedFlag Webmail 4, donne l'utilisateur nobody
• ENVISIONCOLLISION RCE pour phpBB (dérivé)
• EPICHERO RCE pour Avaya Media Server
• COTTONAXE RCE pour récupérer les journaux et informations sur LiteSpeed Web Server

Divers

• calserver RCE basée sur le spooler RPC
• EARLYSHOVEL RCE RHL7 utilisant sendmail CVE-2003-0681 CVE-2003-0694
• ECHOWRECKER/sambal : RCE samba 2.2 et 3.0.2a - 3.0.12-5 (avec les symboles DWARF), pour FreeBSD, OpenBSD 3.1, OpenBSD 3.2 (avec une pile non exécutable, zomg), et Linux. Probablement CVE-2003-0201. Il existe aussi une version Solaris
• ELECTRICSLIDE RCE (dépassement de tas) dans Squid, avec un vecteur d'apparence chinoise
• EMBERSNOUT un exploit distant contre httpd-2.0.40-21 de Red Hat 9.0
• ENGAGENAUGHTY/apache-ssl-linux RCE Apache2 mod-ssl (2008), SSLv2
• ENTERSEED RCE Postfix, pour 2.0.8 - 2.1.5
• ERRGENTLE/xp-exim-3-remote-linux root distant Exim, probablement CVE-2001-0690, Exim 3.22 - 3.35
• EXPOSITTRAG exploit pcnfsd version 2.x
• extinctspinash : RCE pour Chili!Soft ASP ? et Cobalt RaQ aussi ?
• KWIKEMART (binaire km) RCE pour le truc de padding crc32 SSH1 (https://packetstormsecurity.com/files/24347/ssh1.crc32.txt.html)
• prout (ab)us du programme RPC pcnfs (version 2 uniquement) (1999)
• slugger : RCE sur diverses imprimantes, ressemble à

Anti-forensique

• toast : éditeur/manipulateur/interrogateur wtmps
• pcleans : manipulateur/nettoyeur pacctl
• DIZZYTACHOMETER : modifie la base de données RPM lorsqu'un fichier système est modifié afin que la vérification RPM (>4.1) ne se plaigne pas
• DUBMOAT manipuler utmp
• scrubhands outil de nettoyage post-opération ?
• Auditcleaner nettoie audit.log

Contrôle

Iting HP-UX, Linux, SunOS

• FUNNELOUT : backdoor web basée sur base de données pour vbulletin
• hi shell bind UNIX
• jackpop shell bind pour SPARC
• NOPEN backdoor ? Un RAT ou shell de post-exploitation composé d'un client et d'un serveur qui chiffre les données avec RC6 source** SunOS5.8
• SAMPLEMAN / ROUTER TOUCH frappe clairement Cisco via une sorte de redirection via un outil sur le port 2323... (merci à @cynicalsecurity)
• SECONDDATE implant pour Linux/FreeBSD/Solaris/JunOS
• SHENTYSDELIGHT keylogger Linux
• SIDETRACK implant utilisé pour PITCHIMPAIR
• SIFT implant pour Solaris/Linux/FreeBSD
• SLYHERETIC SLYHERETIC est un implant léger pour AIX 5.1:-5.2. Utilise des techniques de dissimulation en clair (Hide-in-Plain-Sight) pour assurer la furtivité.
• STRIFEWORLD : surveillance réseau pour UNIX, doit être lancé en root. Strifeworld est un programme qui capture les données transmises dans le cadre de connexions TCP et les stocke en mémoire pour analyse. Strifeworld reconstruit les flux de données réels et stocke chaque session dans un fichier pour analyse ultérieure.
• SUCTIONCHAR : OS 32 ou 64 bits, solaris sparc 8,9, implant au niveau du noyau - interception transparente, continue ou en temps réel du trafic vnode d'entrée/sortie des processus, capable d'intercepter ssh, telnet, rlogin, rsh, password, login, csh, su, …
• STOICSURGEON rootkit/backdoor Linux MultiArchi
• INCISION rootkit/backdoor Linux Peut être mis à niveau vers StoicSurgeon (version plus récente)

CnC

• Seconddate_CnC : CnC pour SECONDDATE
• ELECTRICSIDE probablement un gros CnC bien massif
• NOCLIENT semble être le CnC pour NOPEN*
• DEWDROP

Élévation de privilèges

Linux

• h : élévation de privilèges du noyau linux, hatorihanzo.c compilé à l'ancienne, do-brk() dans 2.4.22 CVE-2003-0961
• gsh: setreuid(0,0);execl("bash","/bin/bash")
• PTRACE/FORKPTY/km3 : lpe noyau linux, kmod+ptrace, CVE-2003-0127, (https://mjt.nysv.org/scratch/ptrace_exploit/km3.c)
• EXACTCHANGE : root local basé sur une déréférence NULL, basé sur divers protocoles sockets, compilé en 2004, rendu public en 2005
• ghost:statmon/tooltalk élévation de privilèges ?
• elgingamble:
• ESTOPFORBADE root local gds_inet_server pour Cobalt Linux release 6.0, à utiliser avec complexpuzzle
• ENVOYTOMATO LPE via la pile bluetooth(?)
• ESTOPMOONLIT LPE Linux
• EPOXYRESIN LPE Linux

AIX

• EXCEEDSALON-AIX élévation de privilèges

Autres

• procsuid: perl setuid (oui, c'est une vraie chose) élévation de privilèges via des variables d'environnement non assainies. wtf mec
• elatedmonkey: élévation de privilèges cpanel (0day) utilisant /usr/local/cpanel/3rdparty/mailman/. Crée une liste de diffusion mailman : mailman config_list
• estesfox: élévation de privilèges logwatch, à l'ancienne
• evolvingstrategy: élévation de privilèges, probablement pour Kaspersky Anti-virus (/sbin/keepup2date est un truc de kaspersky) (qu'est-ce que ey_vrupdate ?)
• eh élévation de privilèges OpenWebMail
• escrowupgrade cachefsd pour solaris 2.6 2.7 sparc
• ENGLANDBOGY exploit local contre Xorg X11R7 1.0.1, X11R7 1.0, X11R6 6.9. Inclut les distributions suivantes : MandrakeSoft Linux 10.2, Ubuntu 5.0.4, SuSE Linux 10.0, RedHat Fedora Core5, MandrakeSoft Linux 2006.0. nécessite un Xorg setuid
• endlessdonut: élévation de privilèges Apache fastcgi

Trucs intéressants

• liste des mots de passe par défaut (avec l'aimable autorisation de x0rz)

• .gov.ru (stoicsurgeon_ctrl__v__1.5.13.5_x86-freebsd-5.3-sassyninja-mail.aprf.gov.ru) (wow!)