#github #poc #news #linux-flaw

Prova de Conceito Falsa publicada no Github possui payload escondido e expõe pesquisadores de Cybersec que executaram o script de compilação

Recentemente saiu a luz uma vulnerabilidade no linux (CVE-2023-35829) na qual versões do kernel antes da 6.3.2 possuíam uma falha na alocação de memoria dinâmica nos drivers /staging/media/rkvdec/rkvdec.c

Acontece que uma conta no github (ChriSanders22) publicou um suposto PoC no qual em uma parte especifica do code (dentro de uns dos makefiles) continha um downloader com um backdoor persistente escondido
este adicionava sua chave SSH como autorizadas (.ssh/authorized_keys) e dava acesso remoto ao criador do malware
isto vem de uma onda de prova de conceito falsa ou com codigo arbitrario direcionado a pesquisadores publicados no github

fonte : https://thehackernews.com/2023/07/blog-post.html

Detalhes: dentro do makefile (arquivo que gera a compilação do suposto PoC) havia um code que carregava um processo do tipo kworker (tipos de processos criados pelo kernel) e pra se manter persistente dentro do sistema se adicionava no file $HOME/.bashrc (dentro do caminho $HOME/.local/kworker) --> (pra quem não conhece, o bashrc se executa sempre que o usuário loga, nele podemos adicionar variáveis globais e links simbólicos a alguma pasta)
assim este suposto processo carregava e autorizava a chave SSH pra permitir acesso remoto ao agente mal-intencionado

Pra uma analise mais profunda veja: https://www.uptycs.com/blog/new-poc-exploit-backdoor-malware

NÃO BAIXEM REPOSITÓRIOS DO GITHUB SEM VERIFICAR O CONTEÚDO E NÃO EXECUTEM ARQUIVOS NÃO CONFIÁVEIS FORA DE SANDBOX's