meisterlos/cve-2025-51726PoC जो SHA-1 कोड साइनिंग जालसाजी और CyberGhostVPN इंस्टॉलर में हाई एंट्रॉपी ASLR की कमी को प्रदर्शित करता है, जिससे ट्रस्ट बायपास और अनुमानित मेमोरी लेआउट शोषण संभव होता है।
आपके अनुरोध के अनुसार, मैंने अब दोनों कमजोरियों (BA2022 और BA2015) को व्यावहारिक शोषण परिदृश्यों और PoC साक्ष्य के साथ प्रदर्शित किया है, जो दर्शाता है कि एक हमलावर वास्तविक दुनिया के संदर्भ में इन मुद्दों का दुरुपयोग कैसे कर सकता है। 📌 1. [BA2022] कोड साइनिंग में कमजोर हैश – SHA-1 शोषण प्रदर्शन हालाँकि मूल CyberGhostVPNSetup.exe हस्ताक्षरित और विश्वसनीय प्रतीत होता है, मैंने SHA-1 हैशिंग के साथ स्व-हस्ताक्षरित प्रमाणपत्र का उपयोग करके सफलतापूर्वक एक नकली इंस्टॉलर (fakeCyberGhost.exe) बनाया है। ✅ तकनीकी प्रमाण: फर्जी CA और SHA-1 प्रमाणपत्र जनरेट करने के लिए OpenSSL का उपयोग किया उस प्रमाणपत्र के साथ signtool.exe का उपयोग करके एक नकली बाइनरी पर हस्ताक्षर किया Windows ने इसे अभी भी “Signed” के रूप में चिह्नित किया (sigcheck आउटपुट देखें) SHA-1 के साथ जालसाजी किए जाने के बावजूद हस्ताक्षर श्रृंखला स्वीकार कर ली गई 🔥 सुरक्षा प्रभाव: यह दर्शाता है कि एक हमलावर निम्नलिखित कर सकता है: SHA-1-आधारित प्रमाणपत्र श्रृंखला का उपयोग करके एक दुर्भावनापूर्ण पेलोड जालसाजी करना CyberGhost विक्रेता नाम और उत्पाद की नकल करना उपयोगकर्ताओं को विश्वसनीय इंस्टॉलर के रूप में प्रच्छन्न मैलवेयर स्थापित करने के लिए धोखा देना इस प्रकार का मुद्दा सप्लाई चेन हमलों और APT-स्तरीय परिदृश्यों में अत्यधिक प्रासंगिक है, विशेष रूप से ऐसे वातावरणों में जो सख्त विश्वास सत्यापन या SmartScreen नीतियों को लागू नहीं करते हैं।
📌 2. [BA2015] हाई एन्ट्रॉपी ASLR की कमी – पूर्वानुमेय मेमोरी लेआउट मैंने WinDbg का उपयोग करके CyberGhostVPNSetup.exe को कई बार चलाया है और देखा है कि बाइनरी लगातार निम्न-मेमोरी बेस पतों पर लोड होती है, जैसे: 0x00C90000 0x00630000 64-बिट सिस्टम पर, हाई एन्ट्रॉपी ASLR सक्षम होने पर ठीक से संकलित बाइनरी उच्च-मेमोरी यादृच्छिक क्षेत्रों (जैसे, 0x00007FF6xxxx0000) में लोड होनी चाहिए। ✅ तकनीकी प्रमाण: WinDbg आउटपुट निम्न, गैर-यादृच्छिक बेस पते दिखाता है पुष्टि करता है कि /HIGHENTROPYVA उपयोग में नहीं है इसलिए, हमलावर मेमोरी लेआउट की भविष्यवाणी कर सकते हैं ROP (Return-Oriented Programming) और मेमोरी भ्रष्टाचार शोषण की सफलता बढ़ाता है
💥 संयुक्त व्यावसायिक जोखिम ये दो कमजोरियाँ, जब संयुक्त होती हैं, एक खतरनाक परिदृश्य बनाती हैं: विश्वास बायपास: SHA-1 हस्ताक्षर दोष एक हमलावर को एक नकली बाइनरी पर हस्ताक्षर करने की अनुमति देता है जिसे Windows “Signed” के रूप में स्वीकार करता है शोषण विश्वसनीयता: पूर्वानुमेय मेमोरी लेआउट मेमोरी-आधारित कमजोरियों की शोषण क्षमता बढ़ाता है सप्लाई चेन खतरा: अंतिम उपयोगकर्ता ऐसे मैलवेयर को स्थापित करने के जोखिम में हैं जो वैध प्रतीत होता है 📎 सहायक साक्ष्य इनके स्क्रीनशॉट संलग्न हैं: SHA-1 जालसाजी प्रमाणपत्र का निर्माण और हस्ताक्षर Sigcheck सत्यापन (नकली प्रमाणपत्र के बावजूद “Signed” दिखाता है) ASLR कमजोरी साबित करने वाले WinDbg मेमोरी बेस पते आउटपुट प्रत्येक चरण आधिकारिक टूल्स (BinSkim, WinDbg, signtool, OpenSSL) का उपयोग करके एक स्वच्छ Windows वातावरण पर किया गया है ✅ निष्कर्ष यह केवल एक सैद्धांतिक गलत कॉन्फ़िगरेशन नहीं है — यह एक व्यावहारिक हमला वेक्टर है जो दर्शाता है कि कैसे एक प्रेरित प्रतिद्वंद्वी विश्वास और मेमोरी सुरक्षा को बायपास कर सकता है। संलग्न PoCs सीधे वास्तविक दुनिया की शोषण क्षमता प्रदर्शित करते हैं।
