CVE-2007-4559 - Polemarch エクスプロイト

Polemarch サーバー https://www.polemarch.org/ 向けの完全動作するエクスプロイト。CVE-2007-4559 を使用し、以下を可能にします:

• TOR を使用して追跡を困難にする Monero クリプトマイナーの注入。
• 一般的なシステム管理ツールを標的とするルートキットの注入。

POC

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4559 を使用した概念実証であり、 https://www.trellix.com/en-us/about/newsroom/stories/research/tarfile-exploiting-the-world.html の研究に基づいています。

攻撃対象ディレクトリ

以下のファイルを Polemarch サーバーに展開できるようにします:

• /usr/local/lib
  • -> rootkit.so: プリロードを行うライブラリ
• /etc
  • -> ld.so.preload: ローダー設定ファイル
• /opt/polemarch/bin
  • -> polemarchctl: 感染した Docker エントリポイント
• /usr/bin
  • -> xmring: マイナー
  • -> tor: tor
  • -> shellcode: マイナーと tor を起動する難読化されたシェルコード

注: 実際のエクスプロイトでは、検知を回避するために一部の名前を変更します。

注意事項

• バイナリファイルには実行権限が必須です
• Tar は2回展開できません
• マルウェアは、対象フォルダにシンボリックリンクされる補助フォルダに配置されます。

手順

マルウェアを展開するには、以下の準備が必要です:

• 必要なバイナリのコンパイル
• Polemarch サーバーと、感染した tar をホストする悪意のあるサーバーのセットアップ
• 感染した tar を Polemarch サーバーにアップロード

バイナリのコンパイル

ルートキット共有ライブラリとシェルコードをコンパイルする必要があります:

$(rootkit): make
$(shellcode): gcc -z execstack -m32 -o shellcode shell.c

Polemarch サーバーと悪意のあるサーバー

以下のことを行う docker-compose を作成しました:

• http://localhost:8080 に脆弱な Polemarch サーバーをセットアップする
• 必要なファイルをすべて含む感染した tar を生成する
• http://energyplus.com/project.tar.gz で悪意のある tar をホストする補助 Python サーバーをセットアップする（Docker からのみアクセス可能）

$: docker compose build 
$: docker compose up -d

感染した tar のアップロード

デフォルトのパスワード（admin/admin）を使用して Polemarch サーバーにログインし、侵害された tar ファイルでプロジェクトを作成します:

次回 Docker が 再起動 されると、マイナーと tor が Polemarch サーバー内で実行されます。

免責事項

このプロジェクトは研究目的のみであり、違法または悪意のある活動に使用すべきではありません。このプロジェクトの作成者は、このソフトウェアの誤用によって引き起こされた損害や被害について一切の責任を負いません。