Conteúdo navegável de eqgrp-auction-file.tar.xz

• Arquivo original: https://mega.nz/#!zEAU1AQL!oWJ63n-D6lCuCQ4AY0Cv_405hX8kn7MEsa1iLH5UjKU
• Senha: CrDj"(;Va.*NdlnzB9M?@K2)#>deB7mN (conforme divulgada pelos ShadowBrokers, fonte)
• Este resumo é fornecido pela comunidade: reclamações/créditos para jvoisin @ dustri.org e @x0rz

⚠️ Alguns binários podem ser detectados pelo seu antivírus

Arquivos Tar aninhados foram descompactados na pasta archive_files.

Conteúdo

Desconhecido

• JACKLADDER
• DAMPCROWD
• ELDESTMYDLE
• SUAVEEYEFUL
• WATCHER
• YELLOWSPIRIT

Diversos

• DITTLELIGHT (HIDELIGHT) desoculta a janela do NOPEN para executar scripts de banco de dados oracle unix
• DUL empacotador de shellcode
• egg_timer atrasador de execução (equivalente a at)
• ewok semelhante ao snmpwalk?
• gr gerenciador de crontab web? wtf. A NSA é webscale, cara
• jackladderhelper simples vinculador de porta
• magicjack implementação de DES em Perl
• PORKSERVER servidor baseado em inetd para o implante PORK
• ri equivalente a rpcinfo
• uX_local servidor Micro X, provavelmente para gerenciamento remoto
• ITIME Altera a data/hora da última alteração em um arquivo de um sistema de arquivos unix

Execução Remota de Código

Solaris

• CATFLAP RCE em Solaris 7/8/9 (SPARC e Intel) (para um MONTÃO de versões)
• EASYSTREET/CMSEX e cmsd root remoto do Solaris rpc.cmsd
• EBBISLAND/ELVISCICADA/snmpXdmid e frown: CVE-2001-0236, Solaris 2.6-2.9 - Buffer Overflow do snmpXdmid
• sneer: RCE do mibissa (snmpd da Sun), com símbolos DWARF :D
• dtspcdx_sparc RCE do dtspcd para SunOS 5. -5.8. que exploit inútil
• TOOLTALK RCE por buffer overflow do Tooltalk em DEC, IRIX ou Sol2.6 ou anterior
• VIOLENTSPIRIT RCE para o daemon ttsession do CDE em Solaris 2.6-2.9 em SPARC e x86
• EBBISLAND RCE Solaris 2.6 -> 2.10 Injeta shellcode em serviço rpc vulnerável

Netscape Server

• xp_ns-httpd RCE do NetScape Server
• nsent RCE para NetScape Enterprise Server 4.1 em Solaris
• eggbasket outro RCE do NetScape Enterprise, desta vez versão 3.5, provavelmente apenas SPARC

Servidores FTP

• EE RCE do proftpd 1.2.8, para RHL 7.3+/Linux, CVE-2011-4130? mais um motivo para não usar proftpd
• wuftpd provavelmente CVE-2001-0550

Web

• ESMARKCONANT explora execução remota de comandos do phpBB (<2.0.11) CVE-2004-1315
• ELIDESKEW Vulnerabilidade pública conhecida no SquirrelMail versões 1.4.0 - 1.4.7
• ELITEHAMMER Executa contra o RedFlag Webmail 4, gera o usuário nobody
• ENVISIONCOLLISION RCE para phpBB (derivado)
• EPICHERO RCE para Avaya Media Server
• COTTONAXE RCE para recuperar log e informações no LiteSpeed Web Server

Diversos

• calserver RCE baseado em RPC do spooler
• EARLYSHOVEL RCE RHL7 usando sendmail CVE-2003-0681 CVE-2003-0694
• ECHOWRECKER/sambal: RCE do samba 2.2 e 3.0.2a - 3.0.12-5 (com símbolos DWARF), para FreeBSD, OpenBSD 3.1, OpenBSD 3.2 (com pilha não executável, zomg) e Linux. Provavelmente CVE-2003-0201. Há também uma versão para Solaris
• ELECTRICSLIDE RCE (heap-overflow) no Squid, com um vetor de aparência chinesa
• EMBERSNOUT um exploit remoto contra o httpd-2.0.40-21 do Red Hat 9.0
• ENGAGENAUGHTY/apache-ssl-linux RCE Apache2 mod-ssl (2008), SSLv2
• ENTERSEED RCE do Postfix, para 2.0.8 - 2.1.5
• ERRGENTLE/xp-exim-3-remote-linux root remoto do Exim, provavelmente CVE-2001-0690, Exim 3.22 - 3.35
• EXPOSITTRAG explora o pcnfsd versão 2.x
• extinctspinash: RCE da parada Chili!Soft ASP? e Cobalt RaQ também?
• KWIKEMART (binário km) RCE para a parada de padding crc32 do SSH1 (https://packetstormsecurity.com/files/24347/ssh1.crc32.txt.html)
• prout (ab)uso do programa pcnfs RPC (apenas versão 2) (1999)
• slugger: RCE em várias impressoras, parece CVE-1999-0078
• statdx exploit de root remoto do rpc.statd em Redhat Linux 6.0/6.1/6.2 (IA32)
• telex RCE do Telnetd para RHL? CVE-1999-0192?
• toffeehammer RCE para cgiecho, parte do cgimail, explora fprintf
• VS-VIOLET Solaris 2.6 - 2.9, algo relacionado a XDMCP
• SKIMCOUNTRY Rouba dados de registro de telefone móvel
• SLYHERETIC_CHECKS Verifica se um alvo está pronto para SLYHERETIC (não incluído)
• EMPTYBOWL RCE para MailCenter Gateway (mcgate) - um aplicativo que acompanha o mailserver Asia Info Message Center; o buffer overflow permite que uma string passada para a chamada popen() seja controlada por um atacante; execução arbitrária de comandos conhecida por funcionar apenas na Versão 2.9.5.1 do AIMC
• CURSEHAPPY Analisador de CDR (Call Detail Records) (siemens, alcatel, outros contendo arquivos isb hki lhr) provavelmente atualização do ORLEANSTRIDE
• ORLEANSTRIDE Analisador de CDR (Call Detail Records)

Antiforense

• toast: editor/manipulador/consultador de wtmps
• pcleans: manipulador/limpador de pacctl
• DIZZYTACHOMETER: Altera o banco de dados do RPM quando um arquivo do sistema é alterado para que a verificação do RPM (>4.1) não reclame
• DUBMOAT Manipula utmp
• scrubhands ferramenta de limpeza pós-operação?
• Auditcleaner limpa o audit.log

Controle

Iting HP-UX, Linux, SunOS

• FUNNELOUT: backdoor web baseado em banco de dados para vbulletin
• hi bind shell UNIX
• jackpop bind shell para SPARC
• NOPEN Backdoor? Um RAT ou shell de pós-exploração consistindo de um cliente e um servidor que criptografa dados usando RC6 fonte** SunOS5.8
• SAMPLEMAN / ROUTER TOUCH Claramente atinge Cisco através de algum tipo de redirecionamento via uma ferramenta na porta 2323... (agradecimentos a @cynicalsecurity)
• SECONDDATE Implante para Linux/FreeBSD/Solaris/JunOS
• SHENTYSDELIGHT keylogger Linux
• SIDETRACK implante usado para PITCHIMPAIR
• SIFT Implante para Solaris/Linux/FreeBSD
• SLYHERETIC SLYHERETIC é um implante leve para AIX 5.1:-5.2. Usa técnicas Hide-in-Plain-Sight para fornecer furtividade.
• STRIFEWORLD Monitoramento de rede para UNIX, precisa ser executado como root. Strifeworld é um programa que captura dados transmitidos como parte de conexões TCP e armazena os dados na memória para análise. Strifeworld reconstrói os fluxos de dados reais e armazena cada sessão em um arquivo para análise posterior.
• SUCTIONCHAR SO de 32 ou 64 bits, solaris sparc 8,9, implante em nível de kernel - interceptação transparente, sustentada ou em tempo real do tráfego vnode de entrada/saída de processos, capaz de interceptar ssh, telnet, rlogin, rsh, password, login, csh, su, …
• STOICSURGEON Rootkit/Backdoor Linux MultiArchi
• INCISION Rootkit/Backdoor Linux Pode ser atualizado para StoicSurgeon(versão mais recente)

CnC

• Seconddate_CnC: CnC para SECONDDATE
• ELECTRICSIDE provavelmente um CnC gigante
• NOCLIENT Parece ser o CnC do NOPEN*
• DEWDROP

Escalada de privilégios

Linux