Podatności Sliver

Sliver przed wersją 1.7.4 zawiera podatność, która pozwala nieuwierzytelnionemu atakującemu na przejęcie kontroli nad wszystkimi aktywnymi sesjami C2 i beaconami pojedynczym kliknięciem w złośliwy link. Atak może być przeprowadzony przez przeglądarkę operatora i umożliwia eksfiltrację danych (np. klucze SSH, ntds.dit) lub zniszczenie całej infrastruktury.

Sliver to framework do dowodzenia i kontroli, który używa niestandardowego stosu sieciowego Wireguard. W wersjach 1.5.43 i wcześniejszych oraz w wersji rozwojowej 1.6.0-dev, stos sieciowy nie ogranicza ruchu między klientami Wireguard. Umożliwia to klientom swobodną komunikację między sobą, co może pozwolić na wykorzystanie wyciekłych lub odzyskanych par kluczy do ataku na operatorów lub udostępnienie przekierowań portów innym implantom.

Sliver w wersjach od 1.5.x do 1.5.39 ma niewłaściwą implementację kryptograficzną, co umożliwia atakującym przeprowadzenie ataku typu man-in-the-middle poprzez przechwycone i spreparowane odpowiedzi.