针对安全人员的水坑攻击

CVE-2023-35829是Linux内核版本6.3.2之前的一个漏洞，存在于rivers/staging/media/rkvdec/rkvdec.c 的 rkvdec_remove 函数中，是一个UAF（use-after-free，释放后重用）漏洞。

首先是Makefile文件。其第17行执行了./src/aclocal.m4文件。

IDA对该文件逆向分析。

首先判断文件名，如果文件名不为kworker就复制一份命名为kworker，然后修改.bashrc文件，在下次重新启动Bash Shell的时候启动该文件。

虚假的PoC使用新的命名空间进行伪装，在新的命名空间中将当前UID映射到UID 0（root）。这使得在获取新的shell时，使用id或whoami命令显示的是root用户。此外，本次的后门使用UTF-16字符集编码的字符串硬编码存储C2服务器的地址，其对ASCII字符双字节的XX 00编码可以有效的反制Strings和反汇编软件对程序中字符串的获取。

遭遇以上攻击时，若运行恶意代码的宿主机是服务器就会导致其他服务器被横向渗透，造成业务系统的沦陷；若运行恶意代码的宿主机是受害者个人持有，攻击者同样可能通过Wifi渗透内网，并窃取个人主机的敏感信息，如服务器密钥，VPN账号等。可见，无论是哪种情况，都可能使被攻击者遭受巨大的损失。

​洞源实验室
​安全工程师：hu1y40
2023 年 7 月 21 日晚