CVE-2017-8570

O quê?

Este repositório contém um exploit de Prova de Conceito para o CVE-2017-8570, também conhecido como a vulnerabilidade "Composite Moniker". Isto demonstra o uso do truque do Packager.dll para soltar um arquivo sct no diretório %TEMP% e, em seguida, executá-lo usando a primitiva que a vulnerabilidade fornece.

Por quê?

Algumas razões.

1. Eu queria ver se era possível usar o truque de soltar arquivos do Packager.dll para explorar esta vulnerabilidade.
2. Até onde sei, todos os outros exploits públicos para CVE-2017-8570 estão na verdade explorando a variante "Script Moniker" do CVE-2017-0199 e não são exploits de composite moniker de fato.
3. Aumentar a conscientização sobre técnicas de exploração usadas na natureza, e ajudar defensores a detectar tentativas de exploração.

Como executar

Simplesmente execute o script, fornecendo um arquivo Sct para executar e um nome de saída para seu arquivo RTF:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

Detecção

Incluí uma regra Yara para detectar tentativas de explorar esta vulnerabilidade via RTF.

Referências