Немного материалов для заинтересованных возней с компиляторами, также в реплаях я оставил ссылку на русско говорящее коммьюнити, которая собрало очень неплохую подборку. Я лично просто в свое время скинул в чат немного литературы из личных источников. Полезно.

https://twitter.com/1101_debian/status/1456346324794806274?s=21

Побег из контейнера с примерами и описанием, среди которых:
- CVE (уязвимости container runtime и linux kernel)
- Exposed Docker Socket
- Excessive Capabilities
- Host Networking Driver
- Sensitive Mounts

https://0xn3va.gitbook.io/cheat-sheets/container/escaping

Obfuscation Tools for evasion AV and anti-reverse ,time delay from deobfuscation:

https://github.com/XenocodeRCE/neo-ConfuserEx
https://github.com/klezVirus/chameleon
https://github.com/klezVirus/inceptor
https://github.com/Charterino/AsStrongAsFuck
for learn dead sample(because auto deobfuscate) for create your own js-obfuscator: {
https://github.com/javascript-obfuscator/javascript-obfuscator
}
https://github.com/macmade/Obfuscate
https://github.com/sevagas/macro_pack
https://github.com/burrowers/garble
https://github.com/JustasMasiulis/lazy_importer
https://github.com/JustasMasiulis/inline_syscall
https://github.com/quarkslab/llvm-passes
https://github.com/emc2314/YANSOllvm
https://github.com/BedTheGod/ConfuserEx-Mod-By-Bed
https://github.com/enkomio/sacara
https://github.com/tsarpaul/llvm-string-obfuscator
https://github.com/alphaSeclab/obfuscation-stuff
https://github.com/iWinston/javascript-code-protection-example
https://github.com/jwillbold/rusty-jsyc
https://github.com/Rustemsoft/Skater-.NET-Obfuscator
https://github.com/lawliet89/LLVM-Obfuscator
https://github.com/Hippo/Mosey
https://github.com/3NC0D/Powershell-Obfuscator
https://github.com/Deniskore/nand_nor
https://github.com/D34Dspy/Simple-Mutation-Base
https://github.com/danobfuscation
https://github.com/biniamf/data_obfuscation
https://github.com/gh0x0st/Invoke-PSObfuscation
https://github.com/hotline1337/umium
https://github.com/HikariObfuscator/Hikari


Deobfuscation Taxonomy:
https://github.com/calware/Deobfuscation
Deobfuscator js ,sample for deobfuscation mechanism and algorithm:
https://github.com/Its-Vichy/ClearJS

Notes:
you can't just blindly use obfuscators and hope that your source or binary is FUD. You will have to install a lot of AV, use a whole list of well-known deobfuscators and less common ones, and if obfuscation persists, then this is FUD, but with a stretch. (Since a less experienced reverse engineer only needs to look at the sample and the semantics of the software covered will be clear) Anyone who performs obfuscation is primarily a reverse engineer and knows how to professionally deobfuscate samples. The principle is simple: we take open source tools, libraries and other tools (obfuscators, engines, interpreters) and apply them in stages, see where deobfuscators and AV break, what is obfuscation, but how stable is obfuscation for reverse engineering? Therefore, we combine open source tools and, depending on the task, modify the tools or, for a specific root (the root is the abstraction level, the depth of the project, from which we will start refactoring the code and writing our code for an existing open source project or repository), redo a tool for our tasks, for example sacara VM, it probably already has a deobfuscator for it, which we will not like, so we take the src code and transfer it from F # to In a more well-known and acceptable language, for example C ++, Rust, golang, C or rewrite, who knows F #, you can go straight to changing the logic and obfuscation of the virtual machine and bytecode. For example, you can completely change the encoding and encoding format of the instructions, then change the bytecode obfuscator passes, or even throw them away and write your own. The best option is to make support in the llvm tablegen for the format of this bytecode and intelligently obfuscate the llvm passes, providing obfuscation at each level of llvm downgrade, respectively, delegating at each level of abstraction the intermediate representation to a group of obfuscating passes, This means that you can avoid code development for this virtual machine on ASM and immediately write in any programming language you like with the support of the frontend llvm, and llvm will compile the program written in your language into the sacara bytecode of the virtual machine. The old patterns were removed, the logic and algorithm were changed for themselves, you get FUD against AV and reverse engineering (I mean automation and inexperienced specialists fall off)

#obfuscation #AV_evasion #deobfuscation

Автор статьи делает из старого смартфона полноценный (почти) сервер для разного. По моему, неплохой опыт..
https://habr.com/ru/company/first/blog/586910/

Визитка Кевина Митника.

​​Исследователь и директор компании Certitude Consulting Вольфганг Эттлингер раскрыл коды подтверждения концепции (PoC) для атаки Trojan Source, которую не так давно анонсировали исследователи Кембриджского университета, о чем мы сообщали ранее.

Исследователь пролил свет на то, как невидимые символы могут быть имплементированы в JavaScript для внедрения уязвимостей в исходный код таким образом, чтобы скрыть бэкдор в программном обеспечении.

В одном случае он использовал необязательный параметр HTTP timeout, спрятав бэкдор в строках, где находится Hangul Filler, который будучи "буквой" Unicode можно тривиально использовать в качестве имени переменной JavaScript. Это возможно, поскольку, как казалось, параметр тайм-аута был единственным параметром, распаковываемым из атрибута req.query, но на самом деле также извлекается дополнительная переменная, обозначаемая невидимым символом.

Все это означает, что если созданный по такой схеме код JavaScript будет размещен на веб-сервере, злоумышленник может получить доступ к параметру GET, представляющему невидимую переменную в ее закодированной URL-адресом форме, для выполнения произвольного кода.

Еще один интересный пример PoC, который приводит Эттлингер - это условное выражение, в котором используются гомоглифы. Например, символ «ǃ» - это не восклицательный знак, а символ Unicode, известный как Alveolar click.

Атака требует, чтобы IDE/текстовый редактор (и используемый шрифт) правильно отображали невидимые символы.

Исследователь упоминает, что по крайней мере, Notepad ++ и VS Code отображают его правильно (в VS Code невидимый символ немного шире, чем символы ASCII). Некоторые IDE, похоже, явно выделяют эти невидимые символы, в том числе JetBrains WebStorm и PhpStorm, что затрудняет выполнение атаки.

Однако, как бы ни хотелось, не все текстовые редакторы могут выделять невидимые символы, что приводит к известным уже инцидентам.

Так, в прошлом месяце была взломана популярная библиотека Node.js ua-parser-js и злоумышленники внедряли код в выпуски npm для установки криптомайнеров и кражи паролей, а буквально на прошлой неделе вредоносные выпуски затронули coa и rc, повлияв на конвейеры React по всему миру. Точно так же в апреле этого года исследователями из Университета Миннесоты вносили уязвимости в ядра Linux в ходе своего не совсем удачного эксперимента.

Кембриджская команда предлагает ограничить символы Bidi Unicode в качестве решения для Trojan Source, запретив использование любых символов, отличных от ASCII.

А, как нам кажется, голос ученных будет реально услышан лишь после того, как научная мысль будет подкреплена практической составляющей. Так, что следующий шаг, вероятно, за хакерами.

Спешу поделиться новой статьей по предикатам безопасности в Sydr (выход за границу, целочисленное переполнение и др.). Я представлю эту статью на ближайшем ISP RAS Open 2021 (https://www.isprasopen.ru/).
Symbolic Security Predicates: Hunt Program Weaknesses
https://arxiv.org/abs/2111.05770
В рамках исследования была разработана тестовая система для измерения точности динамических анализаторов на Juliet. https://github.com/ispras/juliet-dynamic
Sydr показал общую точность 95.59% на Juliet.

Киберпанк, который мы заслужили

среди самых продвинутых кодеров передаётся тайное знание, что наш мир — всего лишь сайд–проджект Бога, и когда он пофиксит самый последний и самый низкоприоритетный баг, он удалит репозиторий