CVE-2007-4559 - Polemarch 익스플로잇

Polemarch 서버 https://www.polemarch.org/ 에 대한 완전한 작동 익스플로잇, CVE-2007-4559를 사용하여 다음을 가능하게 합니다:

• 더 나은 은닉을 위해 TOR를 사용하는 모네로 암호화폐 채굴기 주입
• 가장 일반적인 시스템 관리 도구를 대상으로 하는 루트킷 주입

POC

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4559 를 사용한 개념 증명이며, https://www.trellix.com/en-us/about/newsroom/stories/research/tarfile-exploiting-the-world.html 의 작업을 기반으로 합니다.

공격 대상 디렉토리

Polemarch 서버에 다음 파일들을 배포할 수 있기를 원합니다:

• /usr/local/lib
  • -> rootkit.so: 사전 로딩을 수행하는 라이브러리
• /etc
  • -> ld.so.preload: 로더 구성 파일
• /opt/polemarch/bin
  • -> polemarchctl: 감염된 도커 진입점
• /usr/bin
  • -> xmring: 채굴기
  • -> tor: tor
  • -> shellcode: 채굴기와 tor를 시작하는 난독화된 셸코드

참고: 실제 익스플로잇에서는 탐지를 피하기 위해 일부 이름을 변경할 것입니다.

참고 사항

• 바이너리 파일은 반드시 실행 권한이 있어야 합니다
• Tar는 두 번 배포할 수 없습니다
• 악성코드는 대상 폴더에 심볼릭 링크될 보조 폴더에 배치됩니다

지침

악성코드를 배포하기 위해 다음을 설정해야 합니다:

• 필요한 바이너리 컴파일
• Polemarch 서버 및 감염된 tar를 호스팅하는 악의적인 서버 설정
• 감염된 tar를 Polemarch 서버에 업로드