Forwarded from Threat Hunting Father 🦔
vSphere and BRICKSTORM Malware: A Defender's Guide
Все пишут что APT атакуют виртуализацию💀 и это слабое, слепое место без мониторинга и EDR…
Mandiant выпустили тулзу для хардеринга vCenter,
Наверное вы уже читали исследования о BRICKSTORM, где dwell time APT групп составил в среднем 393 дня😱 вы себе представляете эту цифру, что в вашей сети 393 дня сидит APT группа и выкачивает данные?
Сама цепочка:
Почитать и захардерить:
🔗 https://cloud.google.com/blog/topics/threat-intelligence/vsphere-brickstorm-defender-guide
🔨 https://github.com/mandiant/vcsa-hardening-tool
🦔 THF
Все пишут что APT атакуют виртуализацию
Mandiant выпустили тулзу для хардеринга vCenter,
Наверное вы уже читали исследования о BRICKSTORM, где dwell time APT групп составил в среднем 393 дня
Сама цепочка:
UNC5221 / threat actor → exploit / access → compromised edge appliance → lateral move → valid credentials → SSH login → target: vCenter Server & ESXi Hypervisor → config change → enable SSH service → deploy BRICKSTEAM (Java Servlet Filter), SLAYSTYLE (JSP webshell) и BRICKSTORM backdoor (Go-based SOCKS proxy) → install persistence черезinit.d/rc.local/ system startup → clone sensitive VMs (DCs / vaults) → mount & extract data (ntds.dit/ secrets) → exfiltrate via SOCKS.
Почитать и захардерить:
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
OffSec
Weaponizing and Abusing Hidden Functionalities Contained in Office Document Properties | OffSec
TJ shows us how adversaries use macro weaponization techniques to abuse hidden functionalities contained in Office document properties.
Weaponizing and Abusing Hidden Functionalities Contained in Office Document Properties🛡️📄
⚠️ Информация 2022 года, однако остаётся полезной
🔗 Ссылка:
https://www.offsec.com/blog/macro-weaponization/
Несколько месяцев назад Microsoft выпустила статью, в которой сообщалось, что в приложениях Microsoft Office, использующих макросы, будут внедрены изменения. 🔄
Это изменение поведения затрагивает Office LTSC, Office 2021, Office 2019, Office 2016 и Office 2013. Учитывая эти меры защиты, которые внедряет Microsoft, я хотел поделиться техникой, которую я использую уже давно и которая работает до сих пор. ⏳ Хотя не стоит ожидать, что эта уязвимость останется навсегда, так как в какой-то момент Microsoft, вероятно, закроет этот обход. Прежде чем я расскажу детали о том, как работает эта техника, нам нужно понять, как она была выявлена и как мы смогли ее использовать. 🔍
Этот Proof of Concept был протестирован с использованием последней версии Windows 11 и Microsoft Office 2021. 💻
⚠️ Информация 2022 года, однако остаётся полезной
🔗 Ссылка:
https://www.offsec.com/blog/macro-weaponization/
Всем хак! 👾
Обновил Obsidian Pentest
Если данный репозиторий оказался полезным, не поленитесь поставить ⭐
Обновил Obsidian Pentest
Если данный репозиторий оказался полезным, не поленитесь поставить ⭐
4
Fsecurity | HH
Всем хак! 👾 Обновил Obsidian Pentest Если данный репозиторий оказался полезным, не поленитесь поставить ⭐
Ого, благодарю 😁
P.s. я имел ввиду ⭐ на репозиторий
P.s. я имел ввиду ⭐ на репозиторий
🤣2
Forwarded from purple shift
Чтобы сделать вредоносные файлы невидимыми для систем защиты, атакующие используют различные техники. Самые известные — это руткиты и буткиты. Но иногда достаточно и более простых механизмов. Недавно мы наткнулись на технику маскировки процессов в Linux через
Когда утилита для монтирования файловых систем
Атакующий с root-доступом может использовать это для маскировки процессов.
Например, процесс с PID 1234 можно спрятать через mount:
После этого содержимое настоящего
Иногда делают еще аккуратнее: поверх
Как ловить атаку?
Проверка mount-таблицы помогает обнаружить сокрытие процесса. Утилиты
С точки зрения правил обнаружения для SOC, отслеживаем запуски утилиты mount с соответствующими аргументами: "--bind", "-B", "-o bind" и "/proc")
Также имеет смысл мониторить системный вызов mount на уровне ядра. Например, для
В файле
bind mount поверх /proc. Когда утилита для монтирования файловых систем
mount запускается с флагом bind, это позволяет "приклеить" одну директорию или файл в другую точку файловой системы. При этом исходные данные в целевой точке становятся невидимыми; фактически, они перекрываются содержимым примонтированного пути. Атакующий с root-доступом может использовать это для маскировки процессов.
Например, процесс с PID 1234 можно спрятать через mount:
mount --bind /tmp/empty /proc/1234
После этого содержимое настоящего
/proc/1234 перекрывается пустой директорией. Утилиты вроде ps, top или htop читают данные именно из /proc, поэтому для них процесс как будто исчезает. При этом сам процесс продолжает работать: слушает порты, выполняет код, держит соединения. Иногда делают еще аккуратнее: поверх
/proc/<pid>/exe или /proc/<pid>/cmdline монтируют другой файл. Тогда процесс вроде бы виден, но его бинарь или аргументы подменены. Как ловить атаку?
Проверка mount-таблицы помогает обнаружить сокрытие процесса. Утилиты
mount или findmnt покажут bind mounts внутри /proc. В нормальной системе их там почти не бывает. С точки зрения правил обнаружения для SOC, отслеживаем запуски утилиты mount с соответствующими аргументами: "--bind", "-B", "-o bind" и "/proc")
Также имеет смысл мониторить системный вызов mount на уровне ядра. Например, для
auditd простейшее правило аудита может выглядеть так: auditctl -a always,exit -F arch=b64 -S mount -k mount_monitor
В файле
/var/log/audit/audit.log будут фиксироваться события монтирования, включая bind mounts. При анализе стоит обращать внимание на операции, где точкой монтирования выступают пути внутри /proc.Forwarded from Cybred
Bluehammer
Парень с ником ChaoticEсlipse0 просто взял и дропнул на всех 0day с повышением привилегий через Defender. Он не объяснил своих действий, но vx-undeground со ссылкой на Xitter подтвердил, что эксплоит рабочий.
По словам исследователя, скоро будет еще один
Парень с ником ChaoticEсlipse0 просто взял и дропнул на всех 0day с повышением привилегий через Defender. Он не объяснил своих действий, но vx-undeground со ссылкой на Xitter подтвердил, что эксплоит рабочий.
По словам исследователя, скоро будет еще один
Another 0day unpatched LPE will be released soon.