Forwarded from Threat Hunting Father 🦔
Кому там не хватает сэмплов и телеметрии? 🤯
💣 На ohmymalware.com исследователь James Spiteri запускает реальные образцы вредоносных программ в контролируемой лаборатории под Elastic Security. Elastic Agent с включённой интеграцией Elastic Defend.
🎓 Отличный ресурс для:
- изучения поведенческих индикаторов
- понимания работы Elastic Defend
- охотников за угрозами и начинающих аналитиков
- если у вас нет такой телеметрии и вы не видели реальных кейсов
🔗 https://ohmymalware.com/
🦔 THF
- изучения поведенческих индикаторов
- понимания работы Elastic Defend
- охотников за угрозами и начинающих аналитиков
- если у вас нет такой телеметрии и вы не видели реальных кейсов
На данный момент проэмулированы:
EP1 — Sofacy / Fancy Bear (APT28)
🎯 Windows | Malware | Phishing
👉 Образец от известной APT-группы Fancy Bear.
📅 16 января 2023
EP2 — REvil / Sodinokibi (GOLD SOUTHFIELD)
🎯 Windows | Ransomware | Supply Chain
👉 Детонация вымогателя, использовавшегося в supply chain-атаках.
📅 21 января 2023
EP3 — Emotet
🎯 Windows | Malware | Phishing
👉 Модульный троян, активно применяемый с 2014 года.
📅 30 января 2023
EP4 — QBot (Qakbot)
🎯 Windows | Malware | Phishing
👉 Версия, доставленная через вредоносный файл OneNote.
📅 7 февраля 2023
EP5 — BPFDoor
🎯 Linux | Malware | Persistence
👉 Незаметный бэкдор для Linux-хостов, использующий raw socket.
📅 5 марта 2023
EP6 — Bumblebee Loader
🎯 Windows | Malware | Phishing
👉 Образец, маскирующийся под установщик ChatGPT.
📅 30 марта 2023
EP7 — OilRig
🎯 Windows | DNS Exfiltration | Phishing
👉 Образец от иранской APT-группы OilRig с DNS-эксфильтрацией.
📅 1 апреля 2023
EP8 — AMOS (Atomic macOS Stealer)
🎯 macOS | Malware | Stealer
👉 Крадёт пароли, файлы и данные из браузеров.
📅 19 июня 2023
EP9 — XMR + Umbral (SupremeBot)
🎯 Windows | Malware | Miner
👉 Маскируется под установщик Super Mario, включает XMR и Umbral майнеры.
📅 Coming Soon
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from 1N73LL1G3NC3
This media is not supported in your browser
VIEW IN TELEGRAM
FileFix (Part 2)
Last week I released the FileFix attack blog post which is an alternative to the traditional ClickFix attack. This blog post demonstrated another variation of FileFix that utilizes social engineering to run a
Last week I released the FileFix attack blog post which is an alternative to the traditional ClickFix attack. This blog post demonstrated another variation of FileFix that utilizes social engineering to run a
.hta file.Forwarded from Pentest Notes
🚨Обнаружены 4 Критические RCE уязвимости в модулях для CMS Bitrix стороннего разработчика "Сотбит".
Снова у нас небезопасная десериализация. Уязвимости плагинов связаны с недостаточной проверкой входных данных. Эксплуатация уязвимостей может позволить нарушителю, действующему удаленно, выполнить произвольный код. Эксплоит уже существует и активно используется. Разработчик рекомендует обновиться до последней версии или применить патч.
Список уязвимых плагинов:
⚫️ Сотбит: Оригами (решение удалено, версии 14.1.0 и старее)
⚫️ Сотбит: Расширенные отзывы (версии 1.4.1 и старее)
⚫️ Сотбит: Быстрая загрузка картинок в визуальном редакторе
⚫️ Сотбит: Мультирегиональность
⚫️ Сотбит: Парсер контента
Критичность - 8,8/10 CVSS 3.0
Идентификаторы BDU:
https://bdu.fstec.ru/vul/2025-06581
https://bdu.fstec.ru/vul/2025-06612
https://bdu.fstec.ru/vul/2025-06613
https://bdu.fstec.ru/vul/2025-06614
Расположение файлов решений "Сотбит" (по умолчанию):
/bitrix/components/sotbit*
/bitrix/modules/sotbit*
/bitrix/tools/sotbit*
/bitrix/wizards/sotbit*
/bitrix/gadgets/sotbit*
/bitrix/blocks/sotbit*
/local/components/sotbit*
/local/modules/sotbit*
/local/tools/sotbit*
/local/wizards/sotbit*
/local/gadgets/sotbit*
/local/blocks/sotbit*
Снова у нас небезопасная десериализация. Уязвимости плагинов связаны с недостаточной проверкой входных данных. Эксплуатация уязвимостей может позволить нарушителю, действующему удаленно, выполнить произвольный код. Эксплоит уже существует и активно используется. Разработчик рекомендует обновиться до последней версии или применить патч.
Список уязвимых плагинов:
Критичность - 8,8/10 CVSS 3.0
Идентификаторы BDU:
https://bdu.fstec.ru/vul/2025-06581
https://bdu.fstec.ru/vul/2025-06612
https://bdu.fstec.ru/vul/2025-06613
https://bdu.fstec.ru/vul/2025-06614
Расположение файлов решений "Сотбит" (по умолчанию):
/bitrix/components/sotbit*
/bitrix/modules/sotbit*
/bitrix/tools/sotbit*
/bitrix/wizards/sotbit*
/bitrix/gadgets/sotbit*
/bitrix/blocks/sotbit*
/local/components/sotbit*
/local/modules/sotbit*
/local/tools/sotbit*
/local/wizards/sotbit*
/local/gadgets/sotbit*
/local/blocks/sotbit*
Please open Telegram to view this post
VIEW IN TELEGRAM
www.opennet.ru
Уязвимости в утилите sudo, позволяющие получить права root в системе
В пакете sudo, применяемом для организации выполнения команд от имени других пользователей, выявлена уязвимость (CVE-2025-32463), позволяющая любому непривилегированному пользователю выполнить код с правами root, даже если пользователь не упомянут в конфигурации…
🔗Ссылка:
https://opennet.ru/63505/
https://opennet.ru/63505/
Forwarded from 1N73LL1G3NC3
Abusing Chrome Remote Desktop on Red Team Operations: A Practical Guide
In this post, we’ll be exploring a practical technique for abusing Chrome Remote Desktop (also known as Google Remote Desktop) within a Red Team operation.
In this post, we’ll be exploring a practical technique for abusing Chrome Remote Desktop (also known as Google Remote Desktop) within a Red Team operation.
👍1
Forwarded from SecuriXy.kz
🔍 NauthNRPC - новый способ enum’а пользователей домена без авторизации
Инструмент на Python, который использует MS-NRPC (Netlogon) с уровнем аутентификации
📌 Это аналог #kerbrute, но работает через RPC, и при переборе badPwdCount не увеличивается, что делает технику максимально stealth.
🔗 Research:
https://securelist.com/no-auth-domain-information-enumeration/112629/
🔗 Source:
https://github.com/sud0Ru/NauthNRPC
📎 Источник поста: https://t.me/APT_Notes/1168
#netlogon #rpc #enum #redteam #ad #noauth
Инструмент на Python, который использует MS-NRPC (Netlogon) с уровнем аутентификации
auth-level = 1 (No Auth) для сбора информации о домене и перебора пользователей. Всё, что нужно - IP-адрес контроллера домена без логина, без пароля.📌 Это аналог #kerbrute, но работает через RPC, и при переборе badPwdCount не увеличивается, что делает технику максимально stealth.
🔗 Research:
https://securelist.com/no-auth-domain-information-enumeration/112629/
🔗 Source:
https://github.com/sud0Ru/NauthNRPC
📎 Источник поста: https://t.me/APT_Notes/1168
#netlogon #rpc #enum #redteam #ad #noauth
Forwarded from Похек
#заметка
Запуск gitlab runner в dind (docker in docker) режиме
МНЕ НАПИСАЛИ, ЧТО Я ДЕЛАЮ ЭТО НЕ СЕКУРНО. Поэтому ждите новую версию
0️⃣ Инициализация gitlab runner
Токен и url получаем в
1️⃣ Регистрация gitlab-runner (я не стандартным вариантом это делаю)
Копируем конфиг:
Вставляем конфиг в локальной файловой системе:
2️⃣ Применение настроек
3️⃣ Чекаем логи
Если видем строчки:
Значит всё ок.
4️⃣ Пробуем деплоить
🌚 @poxek | 🌚 Блог | 📺 YT | 📺 RT | 📺 VK
Запуск gitlab runner в dind (docker in docker) режиме
МНЕ НАПИСАЛИ, ЧТО Я ДЕЛАЮ ЭТО НЕ СЕКУРНО. Поэтому ждите новую версию
sudo docker run -d --name gitlab-runner --restart always -v /srv/gitlab-runner/config:/etc/gitlab-runner -v /var/run/docker.sock:/var/run/docker.sock gitlab/gitlab-runner:latest
Токен и url получаем в
<repo> > Settings > CI/CD > Runners > Project Runners > New project runnerКопируем конфиг:
concurrent = 4
check_interval = 0
connection_max_age = "15m0s"
shutdown_timeout = 0
[session_server]
session_timeout = 1800
[[runners]]
name = "<runner_name>"
url = "https://<domain>"
id = 8
limit = 3
token = "glrt-<token>"
token_obtained_at = 2025-04-13T20:58:53Z
token_expires_at = 0001-01-01T00:00:00Z
executor = "docker"
[runners.cache]
MaxUploadedArchiveSize = 0
[runners.cache.s3]
[runners.cache.gcs]
[runners.cache.azure]
[runners.docker]
tls_verify = false
image = "docker"
privileged = true
disable_entrypoint_overwrite = false
oom_kill_disable = false
disable_cache = false
volumes = ["/cache", "/var/run/docker.sock:/var/run/docker.sock"]
shm_size = 0
network_mtu = 0
Вставляем конфиг в локальной файловой системе:
sudo nano /srv/gitlab-runner/config/config.toml
sudo docker restart gitlab-runner
sudo docker logs gitlab-runner
Если видем строчки:
Configuration loaded
Initializing executor providers
Значит всё ок.
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Ralf Hacker Channel (Ralf Hacker)
CVE-2025-32463: sudo 1.9.14-1.9.17 LPE
Blog + exploit: https://www.stratascale.com/vulnerability-alert-CVE-2025-32463-sudo-chroot
Patched: June 28, 2025
#lpe #linux #pentest #redteam
Blog + exploit: https://www.stratascale.com/vulnerability-alert-CVE-2025-32463-sudo-chroot
Patched: June 28, 2025
#lpe #linux #pentest #redteam
Forwarded from SHADOW:Group
От банальной оплошности в проверке префикса пути и тонкостей кэширования CDN, до оригинального использования символов табуляции в URL и особенностей обработки редиректов в Fastly Edge Worker.
Читать статью
#web #xss #cloud #proxy
Please open Telegram to view this post
VIEW IN TELEGRAM
Telegraph
Как мы получили хранимый XSS на каждом сайте AEM CLOUD, трижды
Adobe Experience Manager позиционируется как CMS «корпоративного уровня» и является одной из самых популярных CMS среди крупных компаний. Если вы заходите на лендинг крупного корпоративного сайта, есть большая вероятность, что под капотом работает AEM. Изначально…
Forwarded from Whitehat Lab
Python реализация известного PowerView.ps1 скрипта
Отличный инструмент при пост эксплуатации
Огромное количество возможностей и настроек, умеет в relay
Работает быстро и стабильно
Различные варианты аутентификации: pfx, kerberos, pth
Из последних фишек, поддержка веб интерфейса
Рекомендую!
Установка в uv:
uv tool install --python 3.12 git+https://github.com/aniqfakhrul/powerview.py --force
Использование:
powerview range.net/lowpriv:Password123@192.168.86.192 --dc-ip 192.168.86.192
#with web
powerview range.net/lowpriv:Password123@192.168.86.192 --dc-ip 192.168.86.192 --web
Некоторые примеры:
Add-ADComputer
Add-ADUser
ConvertFrom-SID
Get-Domain
Get-DomainCA
Get-DomainRBCD
Get-DomainTrust
Get-NetLoggedOn
Invoke-Kerberoast
Invoke-PrinterBug
Set-CATemplate
Set-DomainRBCD
#powerview #redteam #activedirectory #soft
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM