iniqua

0pen0wn

OpenOwn es el nombre del que puede ser un exploit para SSH. En el blog de isc.sans.org ha publicado correos anónimos asegurando su existencia, trazas de la ejecución del mismo y al parecer el movimiento "antisec" está detrás de todo.

La traza del ataque:

anti-sec:~/pwn# cd xpl/
anti-sec:~/pwn/xpl# ./0pen0wn -h xx.yy.143.133 -p 22
[+] 0wn0wn – anti-sec group
[+] Target: xx.yy.143.133
[+] SSH Port: 22
[~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~>]
sh-3.2# export HISTFILE=/dev/null
sh-3.2# id
uid=0(root) gid=0(root)
groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel)
sh-3.2# uname -a
Linux xx.yy.net 2.6.24.5-grsec-hostnoc-4.0.0-x86_64-libata
#1 SMP Mon Aug 25 15:56:12 EDT 2008 x86_64 x86_64 x86_64 GNU/Linux

En una segunda actualización muestran el contenido de un e-mail donde se dan algunos detalles/explicaciones sobre el exploit. Según este informador el exploit no funciona sobre las versiones actuales de SSH  y se hará público antes de BH/DC:

Expect the SSH exploit to be made public before BH/DC. I have proof that I can't share (sorry), that this exploit does exist, does not work against current versions of SSH, and is actively being used by members of the anti-sec movement.

Muy bien, todo perfecto. Con misterio y conspiraciones de por medio.

Pero a mí me surgen unas dudas.

• ¿Cómo es que se publica esta entrada en el blog de Sans.org el día 7 de julio (Published: 2009-07-07) y la supuesta traza es de Agosto de 2008? (Mon Aug 25 15:56:12 EDT 2008)
• ¿Cuando en la entrada de Sans.org dice "here is an anonymous email we received today" se refiere al 7 de Julio de 2009 como pone en la fecha de publicación de la entrada?
• ¿Por qué habla el informador anónimo del BH/DC en futuro si en realidad es pasado? (¿Black-Hat DC no se celebró en Febrero?) ¿Se refiere al del año 2010? además...
• ¿Cómo puede ser que solamente tengamos 10 entradas en google sobre OpenOwn?

Sea como fuere, esto resulta hasta divertido!

ACTUALIZACIÓN / UPDATE

Ayer (14/07/09) se publicó el código fuente de este exploit. En algunos blog podemos ver el análisis del código. Al parecer contiene en el shellcode el comando rm por tanto, mucho cuidad con las pruebas que hagais del mismo.

Os dejo los enlaces:
http://blog.zoller.lu/2009/07/0pen0wnc-shellcode-dissasembled.html
http://blogs.securiteam.com/index.php/archives/1302

[OpenSSH Rumors by Marcus Sachs sans.org]