CVE-2026-30784-rustdesk-poc

CVE-2026-30784: RustDesk hbbs ट्रैफ़िक एम्प्लीफिकेशन PoC और PCAP विश्लेषण

प्रमुख निष्कर्ष

मुख्य खोज: कुंजी-आधारित प्रमाणीकरण (-k _) को लागू करना इस एम्प्लीफिकेशन हमले को नहीं रोकता, क्योंकि एम्प्लीफिकेशन प्रतिक्रिया अप्रमाणित प्रारंभिक हैंडशेक/पिंग चरण के दौरान ट्रिगर होती है।

PCAP फ़ाइल स्थान

पैकेट कैप्चर निम्नलिखित पर संग्रहीत है:

data/attack_only.pcap.gz

PCAP कैप्चर संदर्भ और विवरण

⚠️ पैकेट कैप्चर पर महत्वपूर्ण नोट: > सर्वर को एक वितरित बॉटनेट हमले में सक्रिय एम्प्लीफायर के रूप में और उपयोग होने से रोकने के लिए, पैकेट कैप्चर से पहले/दौरान rustdesk-server (hbbs)+(hbbr) सेवा को पूरी तरह से बंद कर दिया गया था।

चूंकि चल रहे आउटबाउंड एम्प्लीफिकेशन को कम करने के लिए सेवा अक्षम कर दी गई थी, प्रदान की गई PCAP फ़ाइल (data/attack_only.pcap.gz) में केवल इनकमिंग ट्रैफ़िक है। सर्वर की प्रतिक्रियाओं के बिना भी, इनकमिंग वेक्टर स्पष्ट रूप से हमले के दुर्भावनापूर्ण इरादे और संरचनात्मक फुटप्रिंट को प्रदर्शित करते हैं:

• केवल इनबाउंड फ्लडिंग: चूंकि hbbs डाउन था, इस विशिष्ट ट्रेस में कोई संबंधित आउटबाउंड एम्प्लीफाइड प्रतिक्रिया ट्रैफ़िक नहीं है। यह तीसरे पक्ष के पीड़ितों की सुरक्षा के लिए एक जानबूझकर किया गया कार्य था।
• विशिष्ट और स्थिर पैटर्न: पोर्ट 21116 पर हिट करने वाले इनकमिंग UDP पैकेट एक अत्यधिक समान और आसानी से पहचाने जाने योग्य पेलोड पैटर्न प्रदर्शित करते हैं (एक विशिष्ट Base64-जैसे स्ट्रिंग के रूप में दिखाई देता है जो szpontnet... जैसे विशिष्ट मार्करों से शुरू होता है)।
• साक्ष्य संरक्षण: यह कैप्चर पूरी तरह से अप्रमाणित स्कैनिंग और फ्लडिंग चरण के फोरेंसिक साक्ष्य के रूप में कार्य करता है जो सेवा सक्रिय होने पर एम्प्लीफिकेशन व्यवहार को ट्रिगर करता है।