Ресерчеры из GoSecure подвели итоги исследования, в рамках которого в течение 3 лет с помощью ханипота фиксировались тысячи различных RDP-атак, на основании которых удалось классифицировать и выделить пять основных классов злоумышленников.

Приманка показала, как мошенники устанавливают вредоносное ПО, майнят крипту, реализуют DDoS-атаки и мошеннические кампании.

RDP — наиболее критический вектор атаки, используемый киберпреступниками, в том числе группами программ-вымогателей.

Чтобы изучать кибератаки по мере их развития, исследователи создали инструмент перехвата RDP с открытым исходным кодом с возможностями контроля экрана, клавиатуры, мыши, буфера обмена и сбора файлов.

С помощью PyRDP исследователям удалось собрать большое количество информации, включая более 190 миллионов событий, 100 часов видеоматериалов и 470 файлов, используемых злоумышленниками.

Ресечеры отмечают, что исследование демонстрирует значительный потенциал перехвата криминальных сред RDP в ключе работы правоохранительных органов и blueteam.

В следующих публикациях они также пообещали поделиться подробной информацией об инструментах, которые использовали различные субъекты угроз.

Пока же приводят классификацию злоумышленников по категориям, за основу которой были взять типажи из популярной игры Dungeons & Dragons (DnD).

- Рейнджеры: исследуют все папки компьютера, проверяют характеристики сети и производительности хоста и запускают разведку, используя программы или скрипты. Никаких других значимых действий не предпринимают. Оценивают скомпрометированную систему.

- Воры: пытаются монетизировать полученный RDP-доступ. Меняют учетные данные и выполняют различные действия для реализации своего доступома, используя traffmonetizer (прокси-программы), браузеры (участвующие в схемах оплаты за серфинг), устанавливают крипто-майнеры, загружают эмуляторы Android (мобильное мошенничество) и т.д.

- Варвары: используют большой набор инструментов для взлома еще большего количества других систем. Работают брутом, со списками IP-адресов, имен пользователей и паролей.

- Wizards: используют RDP-доступ в качестве канала для подключения к другому компьютеру, который был скомпрометирован аналогичным образом. Скрывают свою личность, задействуя скомпрометированные хосты.

- Барды: отсутствие явных хакерских навыков. Получают доступ к системе для выполнения поиска вредоносных программ с помощью Google или ведут просмотр порнографии. Обычно приобретают RDP-доступ у IAB.

Поначалу кажется, что это какая-то детская статья, где рассказывают, из чего состоит компьютер и зачем там процессор. Но ты не замечаешь, как втягиваешься, и к третьей главе, когда тебя по лицу хлещут сисколами, просто получаешь удовольствие.

https://cpu.land/

#Cloud_Security
"Container Orchestration Honeypot:
Observing Attacks in the Wild", 2023.

Black Hat USA 2023 slides

https://github.com/onhexgroup/Conferences/tree/main/Black%20Hat%20USA%202023%20slides

Speeding up nmap service scanning 16x

https://joshua.hu/nmap-speedup-service-scanning-16x

#Threat_Research
#Blue_Team_Techniques
"Adversarial ModSecurity: Countering Adversarial SQL Injections with Robust Machine Learning", 2023.

Если нужно быстро сориентироваться по системным вызовам ядра Linux.
Числа и параметры для различных архитектур и версий ядра.
https://syscalls.mebeim.net

#linux #syscalls #arch

Remote Desktop on Linux Containers

Этот проект создает безопасную многопользовательскую среду виртуальных рабочих столов с открытым исходным кодом для удаленной работы.

Удаленная среда основана на Docker-контейнере, эффективна и масштабируема, и ее можно развернуть для неограниченного числа пользователей.

Пользователи в вашей организации могут получить доступ к удаленному рабочему столу на базе ОС GNU/Linux, запускать приложения, а также получать доступ к другим важным ресурсам.

Доступна панель управления веб-администратора, позволяющая администраторам контролировать среду организации.

https://github.com/nubosoftware/linux-remote-desktop

Шпаргалка по быстрому развертыванию старой Убунты

Зачем? Статистика не врет – бо́льшая часть проломов с внешки начинается с дырявого веба. Веб же, в основном, крутится на *NIX-ах, и чаще всего, на жесть как не до конца обновленных. К сожалению (нет, на самом деле, к частью), реал-лайф отличается от CTF-таска, поэтому нестандартного SUID-ника / сплойтабельной cron-задачи / нестойкого sudo -l правила найти удается далеко не всегда, а залутаться от рута ой как хочется. Следовательно, если сходу не взлетает PwnKit, linPEAS (по секрету) запускать никто не будет, ведь ядерным сплоитом проще и быстрее.

Однако, предвосхищая контраргументы на тему небезопасности их применения, ядерные уязвимости требуют бережного использования в проде. Обычно под этим подразумевается предварительное тестирование оных на подготовленном стенде с продовым сетапом (ревизия ОС, версия ядра). На примере Убунты покажем, как быстро задеплоить такой стенд.

1. Смотрим ОС и ядро на таргете:

$ cat /etc/os-release
$ uname -a

2. Идем на old-releases.ubuntu.com и хватаем нужный ISO-шник торрентом, разворачиваем на ВМ.

3. Меняем репозитории системных пакетов на архивные:

$ sudo sed -i -re 's/([a-z]{2}\.)?archive.ubuntu.com|security.ubuntu.com/old-releases.ubuntu.com/g' /etc/apt/sources.list
$ sudo apt-get update

4. Накатываем нужное ядро:

$ sudo apt-get install linux-image-$(uname -r)

5. Правим настройки GRUB, чтобы при загрузке иметь возможность свичнуть ядро:

$ gksudo gedit /etc/default/grub
--> GRUB_TIMEOUT=-1
--> #GRUB_HIDDEN_TIMEOUT=0
$ sudo update-grub
$ sudo reboot  # (on boot select the kernel from "Previous Linux versions")

6. Ставим метапакеты компиляции и gcc-multilib на случай, если древний сплоит будет собираться с -m32:

$ sudo apt-get install build-essential gcc-multilib

В среднем процесс занимает не более 15 минут вместе с загрузкой образа и адаптацией команд выше под тестируемый дистрибутив.

P. S. Если версия ОСи достаточно старая, чтобы libssl не дал скачать сорцы с Гитхаба с помощью wget/curl (i. e., не поддерживает хотя бы TLSv1.2), репозитории можно клонировать, отключив в клиенте гита проверку SSL-ей (для гетов/курлов такое не прокатит – все равно обосрутся):

$ export GIT_SSL_NO_VERIFY=1
$ git clone https://github.com/<EXP_AUTHOR>/<EXP_REPO>

haileys/bark
live sync audio streaming for local networks
Language: Rust
Stars: 298 Issues: 0 Forks: 3
https://github.com/haileys/bark