Обозреваемое содержимое eqgrp-auction-file.tar.xz

• Оригинальный файл: https://mega.nz/#!zEAU1AQL!oWJ63n-D6lCuCQ4AY0Cv_405hX8kn7MEsa1iLH5UjKU
• Пароль: CrDj"(;Va.*NdlnzB9M?@K2)#>deB7mN (как раскрыто ShadowBrokers, источник)
• Этот обзор предоставлен сообществом: претензии/благодарности jvoisin @ dustri.org и @x0rz

⚠️ Некоторые бинарные файлы могут быть обнаружены вашим антивирусом

Вложенные Tar-архивы распакованы в папке archive_files.

Содержимое

Неизвестное

• JACKLADDER
• DAMPCROWD
• ELDESTMYDLE
• SUAVEEYEFUL
• WATCHER
• YELLOWSPIRIT

Разное

• DITTLELIGHT (HIDELIGHT) показывает окно NOPEN, чтобы запускать скрипты oracle db
• DUL упаковщик шеллкода
• egg_timer задержка выполнения (аналог at)
• ewok типа snmpwalk?
• gr веб-менеджер crontab? какого чёрта. NSA — вебскейл, чувак
• jackladderhelper простой биндер портов
• magicjack реализация DES на Perl
• PORKSERVER inetd-сервер для импланта PORK
• ri аналог rpcinfo
• uX_local микро-X-сервер, вероятно для удалённого управления
• ITIME Изменение даты/времени последнего изменения файла в unix-файловой системе

Удалённое выполнение кода

Solaris

• CATFLAP Solaris 7/8/9 (SPARC и Intel) RCE (для МНОЖЕСТВА версий)
• EASYSTREET/CMSEX и cmsd Solaris rpc.cmsd удалённый root
• EBBISLAND/ELVISCICADA/snmpXdmid и frown: CVE-2001-0236, Solaris 2.6-2.9 — переполнение буфера в snmpXdmid
• sneer: mibissa (Sun snmpd) RCE, с символами DWARF :D
• dtspcdx_sparc dtspcd RCE для SunOS 5. -5.8. что за бесполезный эксплойт
• TOOLTALK DEC, IRIX или Sol2.6 и более ранние — переполнение буфера Tooltalk с RCE
• VIOLENTSPIRIT RCE для демона ttsession в CDE на Solaris 2.6-2.9 на SPARC и x86
• EBBISLAND RCE Solaris 2.6 -> 2.10, внедрение шеллкода в уязвимый rpc-сервис

Netscape Server

• xp_ns-httpd NetScape Server RCE
• nsent RCE для NetScape Enterprise server 4.1 для Solaris
• eggbasket ещё один RCE для NetScape Enterprise, на этот раз версия 3.5, вероятно только SPARC

FTP-серверы

• EE proftpd 1.2.8 RCE для RHL 7.3+/Linux, CVE-2011-4130? ещё одна причина не использовать proftpd
• wuftpd вероятно, CVE-2001-0550

Web

• ESMARKCONANT эксплуатирует удалённое выполнение команд в phpBB (<2.0.11) CVE-2004-1315
• ELIDESKEW Общеизвестная уязвимость в SquirrelMail версий 1.4.0 - 1.4.7
• ELITEHAMMER Запускается против RedFlag Webmail 4, даёт пользователя nobody
• ENVISIONCOLLISION RCE для phpBB (производное)
• EPICHERO RCE для Avaya Media Server
• COTTONAXE RCE для получения логов и информации на LiteSpeed Web Server

Разное

• calserver RCE на основе RPC-спулера
• EARLYSHOVEL RCE для RHL7 через sendmail CVE-2003-0681 CVE-2003-0694
• ECHOWRECKER/sambal: samba 2.2 и 3.0.2a - 3.0.12-5 RCE (с символами DWARF), для FreeBSD, OpenBSD 3.1, OpenBSD 3.2 (с неисполняемым стеком, zomg) и Linux. Вероятно, CVE-2003-0201. Есть также версия для Solaris
• ELECTRICSLIDE RCE (переполнение кучи) в Squid, с вектором, выглядящим по-китайски
• EMBERSNOUT удалённый эксплойт против httpd-2.0.40-21 из Red Hat 9.0
• ENGAGENAUGHTY/apache-ssl-linux Apache2 mod-ssl RCE (2008), SSLv2
• ENTERSEED Postfix RCE для 2.0.8 - 2.1.5
• ERRGENTLE/xp-exim-3-remote-linux удалённый root в Exim, вероятно CVE-2001-0690, Exim 3.22 - 3.35
• EXPOSITTRAG эксплойт для pcnfsd версии 2.x
• extinctspinash: Chili!Soft ASP RCE? и Cobalt RaQ тоже?
• KWIKEMART (km binary) RCE для той штуки с SSH1 padding crc32 (https://packetstormsecurity.com/files/24347/ssh1.crc32.txt.html)
• prout (зло)употребление RPC-программой pcnfs (только версия 2) (1999)
• slugger: RCE для различных принтеров, похоже на

Антифорензика

• toast: редактор/манипулятор/инструмент запросов для wtmps
• pcleans: манипулятор/очиститель pacctl
• DIZZYTACHOMETER: Изменяет базу данных RPM при изменении системного файла, чтобы проверка RPM (>4.1) не жаловалась
• DUBMOAT Манипулирует utmp
• scrubhands инструмент постоперационной очистки?
• Auditcleaner очищает audit.log

Контроль

Воздействие на HP-UX, Linux, SunOS

• FUNNELOUT: веб-бэкдор на основе БД для vbulletin
• hi UNIX bind-шелл
• jackpop bind-шелл для SPARC
• NOPEN Бэкдор? RAT или постэксплуатационная оболочка, состоящая из клиента и сервера, шифрующих данные с помощью RC6 источник** SunOS5.8
• SAMPLEMAN / ROUTER TOUCH Определённо бьёт по Cisco через своего рода перенаправление через инструмент на порту 2323... (спасибо @cynicalsecurity)
• SECONDDATE Имплант для Linux/FreeBSD/Solaris/JunOS
• SHENTYSDELIGHT Кейлоггер для Linux
• SIDETRACK имплант, используемый для PITCHIMPAIR
• SIFT Имплант для Solaris/Linux/FreeBSD
• SLYHERETIC SLYHERETIC — это лёгкий имплант для AIX 5.1:-5.2. Использует техники Hide-in-Plain-Sight для скрытности.
• STRIFEWORLD: Сетевой мониторинг для UNIX, требует запуска от root. Strifeworld — программа, которая перехватывает данные, передаваемые в рамках TCP-соединений, и сохраняет их в памяти для анализа. Strifeworld восстанавливает реальные потоки данных и сохраняет каждый сеанс в файл для последующего анализа.
• SUCTIONCHAR: 32- или 64-битные ОС, solaris sparc 8,9, имплант уровня ядра — прозрачная, постоянная или в реальном времени перехват входного/выходного vnode-трафика процессов, способен перехватывать ssh, telnet, rlogin, rsh, password, login, csh, su, …
• STOICSURGEON Руткит/бэкдор Linux MultiArchi
• INCISION Руткит/бэкдор Linux. Может быть обновлён до StoicSurgeon (более свежая версия)

CnC

• Seconddate_CnC: CnC для SECONDDATE
• ELECTRICSIDE вероятно, здоровенный жирный CnC
• NOCLIENT Похоже, это CnC для NOPEN*
• DEWDROP

Повышение привилегий

Linux

• h: повышение привилегий в ядре linux, стародавний скомпилированный hatorihanzo.c, do-brk() в 2.4.22 CVE-2003-0961
• gsh: setreuid(0,0);execl("bash","/bin/bash")
• PTRACE/FORKPTY/km3: локальное повышение привилегий в ядре linux, kmod+ptrace, CVE-2003-0127, (https://mjt.nysv.org/scratch/ptrace_exploit/km3.c)
• EXACTCHANGE: локальный root на основе разыменования NULL, основан на различных протоколах сокетов, скомпилирован в 2004, опубликован в 2005
• ghost: повышение привилегий через statmon/tooltalk?
• elgingamble:
• ESTOPFORBADE локальный root для gds_inet_server, Cobalt Linux release 6.0, используется вместе с complexpuzzle
• ENVOYTOMATO LPE через bluetooth-стек(?)
• ESTOPMOONLIT LPE для Linux
• EPOXYRESIN LPE для Linux

AIX

• EXCEEDSALON-AIX повышение привилегий

Другое

• procsuid: setuid perl (да, это реальная вещь), повышение привилегий через неочищенные переменные окружения. какого чёрта, чувак
• elatedmonkey: cpanel privesc (0day) с использованием /usr/local/cpanel/3rdparty/mailman/. Создаёт список рассылки mailman: mailman config_list
• estesfox: logwatch privesc, старых дней
• evolvingstrategy: privesc, вероятно, для Kaspersky Anti-Virus (/sbin/keepup2date — это касперское) (что такое ey_vrupdate?)
• eh повышение привилегий в OpenWebMail
• escrowupgrade cachefsd для solaris 2.6 2.7 sparc
• ENGLANDBOGY локальный эксплойт против Xorg X11R7 1.0.1, X11R7 1.0, X11R6 6.9. Включает следующие дистрибутивы: MandrakeSoft Linux 10.2, Ubuntu 5.0.4, SuSE Linux 10.0, RedHat Fedora Core5, MandrakeSoft Linux 2006.0. требует setuid Xorg
• endlessdonut: повышение привилегий через Apache fastcgi

Интересное

• список паролей по умолчанию (любезно предоставлено x0rz)

• .gov.ru (stoicsurgeon_ctrl__v__1.5.13.5_x86-freebsd-5.3-sassyninja-mail.aprf.gov.ru) (вау!)