CVE-2007-4559 - эксплойт Polemarch

Полностью рабочий эксплойт для сервера Polemarch https://www.polemarch.org/, использующий CVE-2007-4559 и позволяющий:

• Внедрение криптомайнера для monero с использованием TOR для лучшего скрытия.
• Внедрение руткита, нацеленного на наиболее распространённые инструменты системного администратора.

POC

Концепция, использующая https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4559 и основанная на работе https://www.trellix.com/en-us/about/newsroom/stories/research/tarfile-exploiting-the-world.html.

Каталоги для атаки

Мы хотим иметь возможность развернуть следующие файлы на сервере Polemarch:

• /usr/local/lib
  • -> rootkit.so: библиотека для предварительной загрузки
• /etc
  • -> ld.so.preload: конфигурационный файл загрузчика
• /opt/polemarch/bin
  • -> polemarchctl: инфицированная точка входа docker
• /usr/bin
  • -> xmring: майнер
  • -> tor: tor
  • -> shellcode: обфусцированный шеллкод, отвечающий за запуск майнера и tor

Примечание: в реальном эксплойте мы бы изменили некоторые имена, чтобы избежать обнаружения.

Примечания

• Бинарные файлы ДОЛЖНЫ иметь права на исполнение
• Tar-архивы нельзя развернуть дважды
• Вредоносное ПО будет размещено во вспомогательной папке, которая будет связана символьной ссылкой с целевой папкой

Инструкции

Чтобы развернуть вредоносное ПО, нам необходимо настроить следующее:

• Компиляция необходимых бинарных файлов
• Настройка сервера Polemarch и вредоносного сервера, размещающего инфицированный tar-архив
• Загрузка инфицированного tar-архива на сервер Polemarch

Компиляция бинарных файлов

Нам нужно будет скомпилировать разделяемую библиотеку руткита и шеллкод:

$(rootkit): make
$(shellcode): gcc -z execstack -m32 -o shellcode shell.c

Сервер Polemarch и вредоносный сервер

Мы создали docker-compose, который будет:

• Разворачивать уязвимый сервер Polemarch по адресу http://localhost:8080
• Создавать инфицированный tar-архив со всеми необходимыми файлами
• Разворачивать вспомогательный python-сервер, размещающий вредоносный tar-архив по адресу http://energyplus.com/project.tar.gz (доступен только из docker)

$: docker compose build 
$: docker compose up -d

Загрузка инфицированного tar-архива

Войдите на сервер polemarch, используя пароль по умолчанию (admin/admin), и создайте проект со скомпрометированным tar-файлом:

Теперь, в следующий раз, когда docker будет restarted, майнер и tor будут запущены на сервере polemarh.

Отказ от ответственности

Этот проект предназначен только для исследовательских целей и не должен использоваться для любых незаконных или вредоносных действий. Создатели этого проекта не несут ответственности за любой вред или ущерб, причинённый в результате неправильного использования данного программного обеспечения.