Forwarded from SecAtor
Киберпреступники атакуют пользователей Mac с помощью нового троянского вредоносного ПО, которое поставляется вместе с популярным авторским софтом для macOS.
Вредонос превращает девайс в терминал для перенаправления трафика, используемого для анонимизации злонамеренных воздействий, взлома, фишинга и т.п.
Новую кампанию обнаружили спецы из Kaspersky как минимум в 35 программах для редактирования изображений, сжатия и редактирования видео, восстановления данных и сканирования сети.
Среди наиболее популярных программ, инфицированных трояном, были: 4K Video Downloader Pro, Aissessoft Mac Data Recovery, Aiseesoft Mac Video Converter Ultimate, AnyMP4 Android Data Recovery for Mac, Downie 4, FonePaw Data Recovery, Sketch, Wondershare UniConverter 13, SQLPro Studio, Artstudio Pro.
В отличие от легитимного ПО, которое распространяется в виде образов диска, вредоносные версии загружаются в виде PKG-файлов, которые обрабатываются специальной утилитой Installer в macOS.
Установщики PKG могут выполнять скрипты до и после установки приложения, но в обнаруженном случае встроенные вредоносные скрипты активируются после установки программы для выполнения вредносного файла WindowServer и файла конфигурации p.plist, делая активность похожую на системный процесс.
После запуска, троянец создает файлы логов и пытается получить IP-адрес C2-сервера через сервис DNS-over-HTTPS (DoH), скрывая DNS-запрос от средств мониторинга трафика.
Затем он создает соединение с C2 и отправляет ему свою версию, ожидая в ответ команду и соответствующее ей сообщение.
Лаборатория не смогла обнаружить команды в действии, но посредством анализа выяснила, что клиент поддерживает создание TCP или UDP-соединений для обеспечения проксирования.
Кстати, помимо приложений для macOS исследователи также обнаружили несколько образцов, выполняющих подключение к тому же C2-серверу и созданных под Android и Windows. Они также являются прокси-троянцами и скрытно поставляются вместе со взломанным ПО.
Вредонос превращает девайс в терминал для перенаправления трафика, используемого для анонимизации злонамеренных воздействий, взлома, фишинга и т.п.
Новую кампанию обнаружили спецы из Kaspersky как минимум в 35 программах для редактирования изображений, сжатия и редактирования видео, восстановления данных и сканирования сети.
Среди наиболее популярных программ, инфицированных трояном, были: 4K Video Downloader Pro, Aissessoft Mac Data Recovery, Aiseesoft Mac Video Converter Ultimate, AnyMP4 Android Data Recovery for Mac, Downie 4, FonePaw Data Recovery, Sketch, Wondershare UniConverter 13, SQLPro Studio, Artstudio Pro.
В отличие от легитимного ПО, которое распространяется в виде образов диска, вредоносные версии загружаются в виде PKG-файлов, которые обрабатываются специальной утилитой Installer в macOS.
Установщики PKG могут выполнять скрипты до и после установки приложения, но в обнаруженном случае встроенные вредоносные скрипты активируются после установки программы для выполнения вредносного файла WindowServer и файла конфигурации p.plist, делая активность похожую на системный процесс.
После запуска, троянец создает файлы логов и пытается получить IP-адрес C2-сервера через сервис DNS-over-HTTPS (DoH), скрывая DNS-запрос от средств мониторинга трафика.
Затем он создает соединение с C2 и отправляет ему свою версию, ожидая в ответ команду и соответствующее ей сообщение.
Лаборатория не смогла обнаружить команды в действии, но посредством анализа выяснила, что клиент поддерживает создание TCP или UDP-соединений для обеспечения проксирования.
Кстати, помимо приложений для macOS исследователи также обнаружили несколько образцов, выполняющих подключение к тому же C2-серверу и созданных под Android и Windows. Они также являются прокси-троянцами и скрытно поставляются вместе со взломанным ПО.
securelist.ru
Анализ нового прокси-троянца для macOS
Новый прокси-троянец для macOS распространяется со взломанными (пиратскими) версиями легитимного ПО, использует DNS-over-HTTPS для получения адреса C2.
• Downloading Files from Attacker’s HTTP Server;
- Setting up the HTTP Server on the Attacker Machine;
- Downloading Files from Attacker’s HTTP Server: Curl, Wget, and Bash;
• Uploading Files to Attacker’s HTTP Server;
- Setting up the HTTP Server to Allow Uploads on the Attacker Machine;
- Uploading Files to Attacker’s HTTP Server: Curl and Wget;
- Uploading Files to Attacker’s HTTP Server: Browser (GUI);
• Downloading Files from Attacker’s FTP Server;
- Setting up the FTP Server on the Attacker Machine;
- Downloading Files from Attacker’s FTP Server;
• Uploading Files to Attacker’s FTP Server;
• Transferring Files from Attacker Using SSH;
- Transferring Files onto Victim: scp;
- Transferring Files onto Victim: sftp;
• Transferring Files onto Attacker Using SSH;
- Transferring Files onto Attacker: scp;
- Transferring Files onto Attacker: sftp;
• Transferring Files from Attacker Using Netcat;
- Transferring Files from Attacker: nc;
- Transferring Files from Attacker: bash;
• Transferring Files onto Attacker Using Netcat;
- Transferring Files onto Attacker: nc;
- Transferring Files onto Attacker: bash;
• Downloading and Uploading Files Using Meterpreter;
- Upgrading to a Meterpreter Shell: Web_Delivery Method;
- Downloading Files onto the Victim Using Meterpreter;
- Uploading Files from the Victim Using Meterpreter;
• Copy and Paste – cat;
- Copying a Script from Attacker and Pasting on Victim;
- Copying a File from Victim and Pasting on Attacker.
#Linux #Hack #Pivoting #ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
• Hackingtool — это комплексный хакерский инструмент, который включает в себя все основные тулзы пентестеров и хакеров.
• Репозиторий имеет 29.6K звёзд и постоянно обновляется. Включает в себя инструменты из следующих категорий:
- Anonymously Hiding Tools;
- Information gathering tools;
- Wordlist Generator;
- Wireless attack tools;
- SQL Injection Tools;
- Phishing attack tools;
- Web Attack tools;
- Post exploitation tools;
- Forensic tools;
- Payload creation tools;
- Exploit framework;
- Reverse engineering tools;
- DDOS Attack Tools;
- Remote Administrator Tools (RAT);
- XSS Attack Tools;
- Steganograhy tools;
- SocialMedia Bruteforce;
- Android Hacking tools;
- IDN Homograph Attack;
- Email Verify tools;
- Hash cracking tools;
- Wifi Deauthenticate;
- SocialMedia Finder;
- Payload Injector;
- Web crawling;
- Mix tools.
#ИБ #Пентест #Hack #tools
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from SecAtor
Как отмечают в Positive Technologies, в последние годы Азиатский регион ассоциируется не только с инновациями и технологическим прогрессом, а настоящим райским для хакеров.
В 2022 году около трети всех успешных атак в мире пришлись на Азиатско-Тихоокеанский регион - больше, чем на какой-либо другой. Ведь стремительное цифровое развитие повышает привлекательность региона для проведения хакерских атак.
В своем исследовании Позитивы сконцентрировались на шести странах: Китай, Индия, Таиланд, Индонезия, Малайзия и Вьетнам, и выяснили, что хакеры чаще всего атаковали госучреждения, IT, финсектор и промышленность.
При этом каждая пятая успешная атака приходилась именно на правительственный сегмент.
При этом злоумышленники не только нарушали их деятельность и похищали конфиденциальную информацию жителей Азии (как в случае с утечкой данных 105 млн граждан Индонезии и более 300 миллионов пользователей Dukcapil, местного аналога Госуслуг), но и наносили ущерб интересам государств.
Высокий уровень технологического развития региона требует такого же высокого уровня компетенций хакеров. Киберпреступники, орудующие в Азии, хорошо организованы, имеют большой опыт и незаурядный технический бэкграунд.
BlueHornet (AgainstTheWest, APT49) была замечена в атаках на госучреждения Китая, Северной Кореи, Ирана и России.
Более того, их жертвами становились Kryptonite Panda и даже знаменитая Lazarus Group. Где базируются сами представители АРТ - неизвестно.
Еще одна продвинутая группа киберзлодеев известна как Transparent Tribe (она же APT36, Copper Fieldstone, Mythic Leopard, ProjectM) и уже десять лет атакуют государственные, военные и исследовательские организации Индии.
Больше всего хакеров, атакующих страны Азии, интересуют персданные и коммерческая тайна, а добываемая информация зачастую служит плацдармом для проведения более сложных атак. Иногда хакерские группировки скрываются в инфраструктуре жертв годами.
Быстрое цифровое развитие в странах Азии не всегда сопровождалось укреплением кибербезопасности.
В регионе недостаточно развито международное взаимодействие, отсутствуют единые стандарты в области ИБ, за исключением отдельных инициатив стран ASEAN, однако в этой ассоциации нет ни Индии, ни Китая, ни других технологических гигантов Азии.
В ряде стран законодательная база не успевает обновляться в соответствии с трендовыми киберугрозами. Не налажен диалог регуляторов и местных организаций: компании не всегда понимают, как внедрять необходимые меры безопасности, а потому сталкиваются с санкциями.
Несмотря на то, что страны Азии вкладываются в развитие кибербезопасности, есть дефицит квалифицированных специалистов, и большая часть экспертов в регионе считает, что такой разрыв делает их организации мишенями кибератак.
Дальнейшее развитие технологий в Азии и увеличение количества интернет-пользователей будет и дальше провоцировать прогрессивный рост кибератак и притягивать все больше внимания со стороны киберподполья.
Как действуют злоумышленники в Азии, что им нужно и как с ними бороться — в полной версии отчета.
В 2022 году около трети всех успешных атак в мире пришлись на Азиатско-Тихоокеанский регион - больше, чем на какой-либо другой. Ведь стремительное цифровое развитие повышает привлекательность региона для проведения хакерских атак.
В своем исследовании Позитивы сконцентрировались на шести странах: Китай, Индия, Таиланд, Индонезия, Малайзия и Вьетнам, и выяснили, что хакеры чаще всего атаковали госучреждения, IT, финсектор и промышленность.
При этом каждая пятая успешная атака приходилась именно на правительственный сегмент.
При этом злоумышленники не только нарушали их деятельность и похищали конфиденциальную информацию жителей Азии (как в случае с утечкой данных 105 млн граждан Индонезии и более 300 миллионов пользователей Dukcapil, местного аналога Госуслуг), но и наносили ущерб интересам государств.
Высокий уровень технологического развития региона требует такого же высокого уровня компетенций хакеров. Киберпреступники, орудующие в Азии, хорошо организованы, имеют большой опыт и незаурядный технический бэкграунд.
BlueHornet (AgainstTheWest, APT49) была замечена в атаках на госучреждения Китая, Северной Кореи, Ирана и России.
Более того, их жертвами становились Kryptonite Panda и даже знаменитая Lazarus Group. Где базируются сами представители АРТ - неизвестно.
Еще одна продвинутая группа киберзлодеев известна как Transparent Tribe (она же APT36, Copper Fieldstone, Mythic Leopard, ProjectM) и уже десять лет атакуют государственные, военные и исследовательские организации Индии.
Больше всего хакеров, атакующих страны Азии, интересуют персданные и коммерческая тайна, а добываемая информация зачастую служит плацдармом для проведения более сложных атак. Иногда хакерские группировки скрываются в инфраструктуре жертв годами.
Быстрое цифровое развитие в странах Азии не всегда сопровождалось укреплением кибербезопасности.
В регионе недостаточно развито международное взаимодействие, отсутствуют единые стандарты в области ИБ, за исключением отдельных инициатив стран ASEAN, однако в этой ассоциации нет ни Индии, ни Китая, ни других технологических гигантов Азии.
В ряде стран законодательная база не успевает обновляться в соответствии с трендовыми киберугрозами. Не налажен диалог регуляторов и местных организаций: компании не всегда понимают, как внедрять необходимые меры безопасности, а потому сталкиваются с санкциями.
Несмотря на то, что страны Азии вкладываются в развитие кибербезопасности, есть дефицит квалифицированных специалистов, и большая часть экспертов в регионе считает, что такой разрыв делает их организации мишенями кибератак.
Дальнейшее развитие технологий в Азии и увеличение количества интернет-пользователей будет и дальше провоцировать прогрессивный рост кибератак и притягивать все больше внимания со стороны киберподполья.
Как действуют злоумышленники в Азии, что им нужно и как с ними бороться — в полной версии отчета.
Хабр
Азия — рай для хакеров: тайна самого цифровизированного региона планеты
Последние несколько десятилетий именно Азиатский регион ассоциируется с инновациями и технологическим прогрессом. Это одновременно и дар, и проклятье Азии — стремительное цифровое развитие повышает...
• Шифропанкам посвящается. В статье представлены безопасные решения для шифрования файлов при помощи браузера, для быстрой защиты, пересылки, загрузки в облако шифрованных данных, криптографические контейнеры с двойным дном, десяток консольных инструментов для криптографии и комбайн, объединяющий их под единым графическим интерфейсом.
#ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from SecAtor
Atlassian выпускает исправления для исправления четырех критических уязвимостей в своем ПО, которые в случае успешной эксплуатации могут привести к RCE.
Среди них следующие:
- CVE-2022-1471 (оценка CVSS: 9,8): уязвимость десериализации в библиотеке SnakeYAML, которая может привести к удаленному выполнению кода в нескольких продуктах;
- CVE-2023-22522 (оценка CVSS: 9,0): уязвимость в Confluence Data Center and Confluence Server (затрагивает все версии, включая 4.0.0 и последующие);
- CVE-2023-22523 (оценка CVSS: 9,8): уязвимость в Assets Discovery для Jira Service Management Cloud, Server и Data Center (затрагивает все версии до 3.2.0-cloud/6.2.0 data center, но не включая их);
- CVE-2023-22524 (оценка CVSS: 9,6): уязвимость в приложении Atlassian Companion для macOS (затрагивает все версии до 2.0.0, кроме 2.0.0).
Atlassian описала CVE-2023-22522 как уязвимость внедрения шаблона, которая позволяет аутентифицированному злоумышленнику, в том числе имеющему анонимный доступ, реализовать небезопасный пользовательский ввод на страницу Confluence, что приводит к выполнению кода.
Уязвимость Assets Discovery позволяет злоумышленнику выполнять привилегированное удаленное выполнение кода на компьютерах с установленным агентом Assets Discovery.
CVE-2023-22524 может позволить злоумышленнику выполнить код, используя WebSockets для обхода черного списка Atlassian Companion и защиты macOS Gatekeeper.
Поскольку в последнее время решения Atlassian становятся эффективными векторами атак, пользователям настоятельно рекомендуется как можно скорее обновить уязвимые установки до исправленной версии.
Среди них следующие:
- CVE-2022-1471 (оценка CVSS: 9,8): уязвимость десериализации в библиотеке SnakeYAML, которая может привести к удаленному выполнению кода в нескольких продуктах;
- CVE-2023-22522 (оценка CVSS: 9,0): уязвимость в Confluence Data Center and Confluence Server (затрагивает все версии, включая 4.0.0 и последующие);
- CVE-2023-22523 (оценка CVSS: 9,8): уязвимость в Assets Discovery для Jira Service Management Cloud, Server и Data Center (затрагивает все версии до 3.2.0-cloud/6.2.0 data center, но не включая их);
- CVE-2023-22524 (оценка CVSS: 9,6): уязвимость в приложении Atlassian Companion для macOS (затрагивает все версии до 2.0.0, кроме 2.0.0).
Atlassian описала CVE-2023-22522 как уязвимость внедрения шаблона, которая позволяет аутентифицированному злоумышленнику, в том числе имеющему анонимный доступ, реализовать небезопасный пользовательский ввод на страницу Confluence, что приводит к выполнению кода.
Уязвимость Assets Discovery позволяет злоумышленнику выполнять привилегированное удаленное выполнение кода на компьютерах с установленным агентом Assets Discovery.
CVE-2023-22524 может позволить злоумышленнику выполнить код, используя WebSockets для обхода черного списка Atlassian Companion и защиты macOS Gatekeeper.
Поскольку в последнее время решения Atlassian становятся эффективными векторами атак, пользователям настоятельно рекомендуется как можно скорее обновить уязвимые установки до исправленной версии.
Please open Telegram to view this post
VIEW IN TELEGRAM
S.E.Book
DevOps Roadmap — В хорошем качестве ⬇️
devops.pdf
123.9 KB
• Step by step guide for DevOps, SRE or any other Operations Role in 2023.
#DevOps #Roadmap
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from SecAtor
Специалисты Group-IB обнаружили новый вредонос Krasue, который нацелен на Linux-системы телекоммуникационных компаний Таиланда с 2021 года.
Название малвари взято из восточноазиатской мифологии в честь ночного женского духа, поскольку троян способен скрывать свое присутствие во время инициализации, что делает его весьма не простым для обнаружения и удаления.
Точный вектор первоначального доступа, используемый для развертывания Krasue, в настоящее время неизвестен, хотя предполагается, что это может быть через эксплуатацию уязвимостей, атаки с использованием перебора учетных данных или загрузки заряженного программного пакета или двоичного файла.
Основные функции трояна реализуются через руткит, который позволяет ему поддерживать постоянство на хосте, не привлекая внимания.
Этот руткит может скрывать или показывать порты, делать процессы невидимыми, предоставлять права суперпользователя и запускать команду kill для любого идентификатора процесса.
Примечательно, что Krasue может быть развернут в качестве части ботнета и использоваться для продажи брокерам начального доступа другим злоумышленникам.
Специалистами были замечены интересные аналогии в коде Krasue с другим вредоносом под Linux XorDdos, что дает основания полагать о разработке зловредов одним автором.
По данным Group-IB, распространение малвари не носит массовый характер и на данный момент ими выявлен один подтвержденный случай использования Krasue, но предполагается, что число атакованных компаний может быть больше.
Название малвари взято из восточноазиатской мифологии в честь ночного женского духа, поскольку троян способен скрывать свое присутствие во время инициализации, что делает его весьма не простым для обнаружения и удаления.
Точный вектор первоначального доступа, используемый для развертывания Krasue, в настоящее время неизвестен, хотя предполагается, что это может быть через эксплуатацию уязвимостей, атаки с использованием перебора учетных данных или загрузки заряженного программного пакета или двоичного файла.
Основные функции трояна реализуются через руткит, который позволяет ему поддерживать постоянство на хосте, не привлекая внимания.
Этот руткит может скрывать или показывать порты, делать процессы невидимыми, предоставлять права суперпользователя и запускать команду kill для любого идентификатора процесса.
Примечательно, что Krasue может быть развернут в качестве части ботнета и использоваться для продажи брокерам начального доступа другим злоумышленникам.
Специалистами были замечены интересные аналогии в коде Krasue с другим вредоносом под Linux XorDdos, что дает основания полагать о разработке зловредов одним автором.
По данным Group-IB, распространение малвари не носит массовый характер и на данный момент ими выявлен один подтвержденный случай использования Krasue, но предполагается, что число атакованных компаний может быть больше.
Group-IB
Curse of the Krasue: New Linux Remote Access Trojan targets Thailand
This piece of malware has an insatiable appetite. Group-IB's Threat Intelligence unit offers their insights on the new RAT used in attacks against Thai companies.
• Эксплуатация представляет собой последовательность действий, которая помогает атакующему получить доступ к исследуемой системе, используя уязвимость или ошибку в настройках. Сегодня, я поделюсь с тобой ссылкой на отличный Cheat Sheet для эксплуатации win #AD.
Что включает в себя справочник:
• Обход PowerShell AMSI;
• PowerShell one-liners;
• Перечисления (Enumeration);
• AD Enumeration с помощью PowerView;
• AppLocker;
• Ограниченный языковой режим PowerShell;
• LAPS;
• Боковое перемещение (Lateral Movement);
• Боковое перемещение с помощью PowerView;
• BloodHound;
• Kerberoasting;
• AS-REP roasting;
• Token Manipulation;
• Боковое перемещение с помощью Rubeus;
• Боковое перемещение с помощью Mimikatz;
• Выполнение команды с запланированными задачами;
• Выполнение команд с помощью WMI;
• Выполнение команд с помощью PowerShell Remoting;
• Неограниченное делегирование;
• Ограниченное делегирование;
• Ограниченное делегирование на основе ресурсов;
• Злоупотребление доверием к домену;
• MSSQL и боковое перемещение;
• Групповые политики и боковое перемещение;
• Privilege Escalation;
• PowerUp;
• UAC Bypass;
• Persistence;
• Startup folder;
• Domain Persistence;
• Mimikatz skeleton key attack;
• Права DCSync с помощью PowerView;
• Domain Controller DSRM admin;
• Изменение дескрипторов безопасности для удаленного доступа к WMI;
• Изменение дескрипторов безопасности для удаленного доступа PowerShell;
• Изменение дескрипторов безопасности реестра DC для удаленного извлечения хэша с помощью DAMP;
• DCShadow;
• Постэксплуатация;
• LSASS protection;
• Дамп учетных данных с помощью Mimikatz;
• Злоупотребление DPAPI с помощью Mimikatz;
• Dumping secrets without Mimikatz;
• Windows Defender evasion;
• Chisel proxying;
• Juicy files.
#AD #ИБ #Hack
Please open Telegram to view this post
VIEW IN TELEGRAM
• Добро пожаловать в рубрику "добавь в избранное". Сегодня будет неплохая подборка подсказок (в картинках) для начинающих #ИБ специалистов. Выбирайте нужную категорию и добавляйте в избранное:
• Basic Active Directory Domain Enumeration Cheat Sheet;
• Basic Active Directory Domain Enumeration Cheat Sheet2;
• Best of PowerShell;
• BloodHound Cheat Sheet;
• Burp Suite Cheat Sheet;
• Burp Suite Cheat Sheet2;
• Hacking Tools Cheat Sheet;
• Hacking Tools Cheat Sheet2;
• IPv4 Cheat Sheet;
• IPv4 Subnets;
• Incident Response;
• Incident Response2;
• John The Ripper;
• Kali Linux Cheat Sheet;
• Linux Command Line Cheat Sheet;
• Linux Commands with Descriptions;
• Linux Terminal Cheat Sheet;
• Log Parsing Cheat Sheet;
• Metasploit Cheat Sheet;
• Nessus and Nmap Cheat Sheet;
• Netcat Cheat Sheet;
• Network Topologies;
• Nikto Cheat Sheet;
• Nmap Cheat Sheet;
• Nmap Cheat Sheet2;
• Nmap Commands Cheat Sheet;
• OSI Layer Cheat Sheet;
• OSI Model Cheat Sheet;
• OSI Model and Cyber Attacks;
• PowerShell Cheat Sheet;
• SQLMap;
• SSH Common Commands;
• SSL TLS Handshake;
• Social Engineering Red Flags;
• TCP IP Cheat Sheet;
• TCP and UDP Common Ports;
• Windows Command Line;
• Wireshark Cheat Sheet;
• computer networking cheat sheet;
• network ports cheat sheet;
#CheatSheet #ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
CheatSheet Digital Forensics S.E..pdf
888.6 KB
• Основная цель при проведении форензики — использование методов и средств для сохранения (неизменности), сбора и анализа цифровых вещественных доказательств, для того чтобы восстановить события инцидента.
• Выше ты сможешь найти полезную шпаргалку (108 страниц полезной информации), по всем командам Windows для тех, кому интересна сегодняшняя тема. Либо можешь изучить данный материал по адресу: https://www.jaiminton.com/cheatsheet/DFIR
#Форензика #ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from SecAtor
͏Исследователи SonarCloud обнаружили уязвимости в pfSense, которые в случае объединения в цепочку позволяют злоумышленникам выполнять RCE на устройстве.
pfSense — это популярное ПО с открытым исходным кодом, реализующее функционал брандмауэра/маршрутизатора с поддержкой широого спектра возможностей, доступных коммерческим аналогам.
Уязвимости отслеживаются как CVE-2023-42325 (XSS), CVE-2023-42327 (XSS) и CVE-2023-42326 (внедрение команд) и затрагивают pfSense 2.7.0, pfSense Plus 23.05.01 (и старше).
Если для эксплуатации XSS-ошибок требуются действия пользователя на стороне жертвы, то недостаток внедрения команд в этом плане является более серьезной проблемой (оценка CVSS: 8,8).
Уязвимости в веб-интерфейсе pfSense обусловлены созданием команд оболочки на основе предоставленных пользователем данных для настройки сетевых интерфейсов без надлежащей проверки.
В частности, параметр сетевого интерфейса «gifif» не проверяется на наличие безопасных значений, что позволяет злоумышленникам вводить в него допкоманды, приводя к их выполнению с привилегиями root.
Для полноценной работы эксплойта злоумышленнику необходим доступ к учетной записи с разрешениями на редактирование интерфейса, что достигается за счет эксплуатации других уязвимостей.
При этом CVE-2023-42325 или CVE-2023-42327 позволяют обеспечить выполнение вредоносного JavaScript в браузере аутентифицированного пользователя и получить контроль над сеансом pfSense.
Netgate была уведомлена о проблемах 3 июля 2023 года и представила исправления в рамках pfSense Plus 23.09 и pfSense CE 2.7.1 еще ноябре.
Однако даже спустя месяц после этого, почти 1450 серверов pfSense (92,4% всех доступных в сети) остаются уязвимыми для атак, о чем предупреждают исследователи, основываясь на статистике Shodan.
Причем, согласно данным сканирования, Россия по этому показателю занимает третье место с почти сотней дырявых pfSense.
Безусловно, для компрометации злоумышленнику необходимо для начала будет успешно отработать XSS-уязвимости, но столь значительное число уязвимых конечных точек создает значительную поверхность атаки.
pfSense — это популярное ПО с открытым исходным кодом, реализующее функционал брандмауэра/маршрутизатора с поддержкой широого спектра возможностей, доступных коммерческим аналогам.
Уязвимости отслеживаются как CVE-2023-42325 (XSS), CVE-2023-42327 (XSS) и CVE-2023-42326 (внедрение команд) и затрагивают pfSense 2.7.0, pfSense Plus 23.05.01 (и старше).
Если для эксплуатации XSS-ошибок требуются действия пользователя на стороне жертвы, то недостаток внедрения команд в этом плане является более серьезной проблемой (оценка CVSS: 8,8).
Уязвимости в веб-интерфейсе pfSense обусловлены созданием команд оболочки на основе предоставленных пользователем данных для настройки сетевых интерфейсов без надлежащей проверки.
В частности, параметр сетевого интерфейса «gifif» не проверяется на наличие безопасных значений, что позволяет злоумышленникам вводить в него допкоманды, приводя к их выполнению с привилегиями root.
Для полноценной работы эксплойта злоумышленнику необходим доступ к учетной записи с разрешениями на редактирование интерфейса, что достигается за счет эксплуатации других уязвимостей.
При этом CVE-2023-42325 или CVE-2023-42327 позволяют обеспечить выполнение вредоносного JavaScript в браузере аутентифицированного пользователя и получить контроль над сеансом pfSense.
Netgate была уведомлена о проблемах 3 июля 2023 года и представила исправления в рамках pfSense Plus 23.09 и pfSense CE 2.7.1 еще ноябре.
Однако даже спустя месяц после этого, почти 1450 серверов pfSense (92,4% всех доступных в сети) остаются уязвимыми для атак, о чем предупреждают исследователи, основываясь на статистике Shodan.
Причем, согласно данным сканирования, Россия по этому показателю занимает третье место с почти сотней дырявых pfSense.
Безусловно, для компрометации злоумышленнику необходимо для начала будет успешно отработать XSS-уязвимости, но столь значительное число уязвимых конечных точек создает значительную поверхность атаки.
📦 HackTheBox CTF Cheatsheet. RU.
• Собрал хорошую и большую подборку прохождений HTB, которая поможет прокачать твой скилл и получить новые знания в различных аспектах пентеста. Подборку разделил по уровням сложности, надеюсь будет полезно:
Hack The Box. Уровень Easy:
• Прохождение Traceback. Бэкдор, LUA, SSH.
• Прохождение Omni. Ломаем легенький Windows IoT.
• Прохождение Buff. RCE в CMS Gym и в CloudMe.
• Прохождение Tabby. RCE в Tomcat, и повышаем привилегии через LXD.
• Прохождение Blunder. Ломаем Bludit CMS.
• Прохождение Remote. NFS, RCE в CMS Umbraco и LPE через UsoSvc.
• Прохождение Sauna. LDAP, AS-REP Roasting, AutoLogon, DCSync атака.
• Прохождение Nest. NTFS потоки, реверс C# и бродилка по SMB.
• Прохождение Traverxec. RCE в веб-сервере nostromo, техника GTFOBins.
• Прохождение Forest. AS-REP Roasting, атаки DCSync и Pass-The-Hash.
• Прохождение Postman. Redis и WebMin.
Hack The Box. Уровень Medium:
• Прохождение лаборатории Professional Offensive Operations. Пентест Active Directory.
• Прохождение Monteverde. Брут SMB и LPE через Azure Admins.
• Прохождение OpenKeys. Ломаем виртуалку OpenBSD.
• Прохождение SneakyMailer. Фишинговая рассылка, LPE через PyPI и GTFOBins pip3.
• Прохождение Fuse. RPC, принтеры и опасная привилегия SeLoadDriverPrivilege.
• Прохождение Cache. RCE в OpenEMR, memcached и docker.
• Прохождение Admirer. Уязвимость в Admirer и RCE через подмену переменной среды.
• Прохождение Magic. Password spraying. Mysqldump и LPE через sysinfo.
• Прохождение Cascade. LDAP и удаленные объекты Active Directory.
• Прохождение Book. XSS to LFI через PDF и LPE через Logrotate.
• Прохождение Resolute. Password spraying. От DnsAdmin до SYSTEM.
• Прохождение Obscurity. OS Command Injection и Race Condition.
• Прохождение Mango. NoSQL инъекция и LPE через JJS.
• Прохождение Sniper. RFI и вредоносный CHM документ.
• Прохождение Bitlab. Слабая JS обфускация, GIT и реверс Windows приложения.
Hack The Box. Уровень Hard:
• Прохождение Compromised. RCE LiteCart и бэкдор pam_unix.
• Прохождение Unbalanced. Rsync, EncFS, Squid, XPath инъекция и RCE в Pi-hole.
• Прохождение Intanse. Flask, атака HLE, SQL инъекция, SNMP to RCE, Ret2Libc.
• Прохождение Blackfield. Захват контроллера домена через SMB и RPC, LPE через теневую копию.
• Прохождение Travel. Memcache+SSRF=RCE, LPE через LDAP.
• Прохождение Quick. QUIC HTTP/3, XSLT инъекция, Race condition.
• Прохождение Oouch. OAuth2, RCE в uWSGI и LPE через DBUS.
• Прохождение Forwardslash. LFI, backup и шифрованный том.
• Прохождение Control. SQL инъекция и LPE через права на службу.
• Прохождение Registry. Docker, RCE в CMS Bolt и Restic.
• Прохождение Scavenger. DNS, FTP и следы другого взлома.
• Прохождение Zetta. FXP, IPv6, rsync, Postgres и SQLi.
• Прохождение RE. Metasploit, нагрузка в офисном документе, Zip Slip атака, немного о PowerSploit и токенах.
Hack The Box. Уровень Insane:
• Прохождение Laser. Jetdirect, RPC и кража SSH.
• Прохождение Dyplesher. Memcached, Gogs, RCE через создание плагина и LPE через AMQP.
• Прохождение Multimaster. Burp+Sqlmap. AD users from MSSQL. Уязвимость в VSCode. AMSI bypass и CVE ZeroLogon.
• Прохождение Fatty. Реверс и рекомпиляция клиент-серверного приложения. Java десериализация.
• Прохождение PlayerTwo. Twirp, 2FA bypass, Off-By-One атака.
• Прохождение Rope. PWN. Форматные строки и ROP используя pwntools.
• Прохождение Bankrobber. XSS, SQL инъекция, CSRF, port forwarding.
Дополнительная информация:
• https://github.com/Ignitetechnologies/HackTheBox-CTF-Writeups
• https://github.com/Ignitetechnologies/Privilege-Escalation
• https://github.com/Ignitetechnologies/Vulnhub-CTF-Writeups
• https://github.com/Ignitetechnologies/TryHackMe-CTF-Writeups
#Пентест #CTF
• Собрал хорошую и большую подборку прохождений HTB, которая поможет прокачать твой скилл и получить новые знания в различных аспектах пентеста. Подборку разделил по уровням сложности, надеюсь будет полезно:
Hack The Box. Уровень Easy:
• Прохождение Traceback. Бэкдор, LUA, SSH.
• Прохождение Omni. Ломаем легенький Windows IoT.
• Прохождение Buff. RCE в CMS Gym и в CloudMe.
• Прохождение Tabby. RCE в Tomcat, и повышаем привилегии через LXD.
• Прохождение Blunder. Ломаем Bludit CMS.
• Прохождение Remote. NFS, RCE в CMS Umbraco и LPE через UsoSvc.
• Прохождение Sauna. LDAP, AS-REP Roasting, AutoLogon, DCSync атака.
• Прохождение Nest. NTFS потоки, реверс C# и бродилка по SMB.
• Прохождение Traverxec. RCE в веб-сервере nostromo, техника GTFOBins.
• Прохождение Forest. AS-REP Roasting, атаки DCSync и Pass-The-Hash.
• Прохождение Postman. Redis и WebMin.
Hack The Box. Уровень Medium:
• Прохождение лаборатории Professional Offensive Operations. Пентест Active Directory.
• Прохождение Monteverde. Брут SMB и LPE через Azure Admins.
• Прохождение OpenKeys. Ломаем виртуалку OpenBSD.
• Прохождение SneakyMailer. Фишинговая рассылка, LPE через PyPI и GTFOBins pip3.
• Прохождение Fuse. RPC, принтеры и опасная привилегия SeLoadDriverPrivilege.
• Прохождение Cache. RCE в OpenEMR, memcached и docker.
• Прохождение Admirer. Уязвимость в Admirer и RCE через подмену переменной среды.
• Прохождение Magic. Password spraying. Mysqldump и LPE через sysinfo.
• Прохождение Cascade. LDAP и удаленные объекты Active Directory.
• Прохождение Book. XSS to LFI через PDF и LPE через Logrotate.
• Прохождение Resolute. Password spraying. От DnsAdmin до SYSTEM.
• Прохождение Obscurity. OS Command Injection и Race Condition.
• Прохождение Mango. NoSQL инъекция и LPE через JJS.
• Прохождение Sniper. RFI и вредоносный CHM документ.
• Прохождение Bitlab. Слабая JS обфускация, GIT и реверс Windows приложения.
Hack The Box. Уровень Hard:
• Прохождение Compromised. RCE LiteCart и бэкдор pam_unix.
• Прохождение Unbalanced. Rsync, EncFS, Squid, XPath инъекция и RCE в Pi-hole.
• Прохождение Intanse. Flask, атака HLE, SQL инъекция, SNMP to RCE, Ret2Libc.
• Прохождение Blackfield. Захват контроллера домена через SMB и RPC, LPE через теневую копию.
• Прохождение Travel. Memcache+SSRF=RCE, LPE через LDAP.
• Прохождение Quick. QUIC HTTP/3, XSLT инъекция, Race condition.
• Прохождение Oouch. OAuth2, RCE в uWSGI и LPE через DBUS.
• Прохождение Forwardslash. LFI, backup и шифрованный том.
• Прохождение Control. SQL инъекция и LPE через права на службу.
• Прохождение Registry. Docker, RCE в CMS Bolt и Restic.
• Прохождение Scavenger. DNS, FTP и следы другого взлома.
• Прохождение Zetta. FXP, IPv6, rsync, Postgres и SQLi.
• Прохождение RE. Metasploit, нагрузка в офисном документе, Zip Slip атака, немного о PowerSploit и токенах.
Hack The Box. Уровень Insane:
• Прохождение Laser. Jetdirect, RPC и кража SSH.
• Прохождение Dyplesher. Memcached, Gogs, RCE через создание плагина и LPE через AMQP.
• Прохождение Multimaster. Burp+Sqlmap. AD users from MSSQL. Уязвимость в VSCode. AMSI bypass и CVE ZeroLogon.
• Прохождение Fatty. Реверс и рекомпиляция клиент-серверного приложения. Java десериализация.
• Прохождение PlayerTwo. Twirp, 2FA bypass, Off-By-One атака.
• Прохождение Rope. PWN. Форматные строки и ROP используя pwntools.
• Прохождение Bankrobber. XSS, SQL инъекция, CSRF, port forwarding.
Дополнительная информация:
• https://github.com/Ignitetechnologies/HackTheBox-CTF-Writeups
• https://github.com/Ignitetechnologies/Privilege-Escalation
• https://github.com/Ignitetechnologies/Vulnhub-CTF-Writeups
• https://github.com/Ignitetechnologies/TryHackMe-CTF-Writeups
#Пентест #CTF
Forwarded from infosec
• Это руководство включает в себя полезные советы для повышения безопасности и конфиденциальности в ОС на базе ядра Linux.
• Choosing the right Linux distribution;
• Kernel hardening;
• Mandatory access control;
• Sandboxing;
• Hardened memory allocator;
• Hardened compilation flags;
• Memory safe languages;
• The root account;
• Firewalls;
• Identifiers;
• File permissions;
• Core dumps;
• Swap;
• PAM;
• Microcode updates;
• IPv6 privacy extensions;
• Partitioning and mount options;
• Entropy;
• Editing files as root;
• Distribution-specific hardening;
• Physical security;
• Best practices.
#Linux
Please open Telegram to view this post
VIEW IN TELEGRAM
• От выбора хорошего словаря зависит многое, а именно успех подбора учетных данных. Не может быть одного самого лучшего словаря – под разные ситуации требуются разные словари.
• Сегодня делюсь с тобой сочным репозиторием. Этот репо включает в себя список фраз (более 20 миллионов) и два файла правил #hashcat для брута на GPU. Правила создадут более 1000 вариантов каждой фазы.
• Для генерации собственных словарей можно использовать программы Hashcat, John the Ripper, crunch, statsprocessor, maskprocessor и другие.
#hashcat #hack #Пентест
Please open Telegram to view this post
VIEW IN TELEGRAM
❔ Cicada 3301: кого и куда должны были отобрать загадки таинственной «Цикады»?.
• Белые буквы на черном фоне гласили: «Мы ищем очень умных людей. Чтобы найти их, мы разработали тест. В этой картинке спрятано сообщение. Найди его, и оно укажет дорогу, ведущую к нам. Мы будем рады встретить тех немногих, что дойдут до конца. Удачи!» В конце стоит подпись: 3301.
• Cicada 3301 — знаменитый и широкомасштабный хакерский квест, организаторы которого так и остались неизвестными.
• Как подсчитали энтузиасты, в загадках «Цикады» содержалось около 20 отсылок к литературным, художественным и музыкальным произведениям. Загадки требовали владения основами криптографии, программирования, стеганографии и математических теорий.
• «Cicada 3301» отсылала к разнообразным философским и мистическим учениям, от Юнга и Ницше до Дзен-буддизма и Каббалы. А в итоге всё упёрлось в книгу, написанную северными рунами по кабалистической методике.
• В чем заключалась суть самой масштабной, интересной и странной игры? Как были найдены ответы на самые сложные вопросы и кто смог дойти до самого конца? Читайте в статье:
➖ Часть 1.
➖ Часть 2.
#Разное
• Белые буквы на черном фоне гласили: «Мы ищем очень умных людей. Чтобы найти их, мы разработали тест. В этой картинке спрятано сообщение. Найди его, и оно укажет дорогу, ведущую к нам. Мы будем рады встретить тех немногих, что дойдут до конца. Удачи!» В конце стоит подпись: 3301.
• Cicada 3301 — знаменитый и широкомасштабный хакерский квест, организаторы которого так и остались неизвестными.
• Как подсчитали энтузиасты, в загадках «Цикады» содержалось около 20 отсылок к литературным, художественным и музыкальным произведениям. Загадки требовали владения основами криптографии, программирования, стеганографии и математических теорий.
• «Cicada 3301» отсылала к разнообразным философским и мистическим учениям, от Юнга и Ницше до Дзен-буддизма и Каббалы. А в итоге всё упёрлось в книгу, написанную северными рунами по кабалистической методике.
• В чем заключалась суть самой масштабной, интересной и странной игры? Как были найдены ответы на самые сложные вопросы и кто смог дойти до самого конца? Читайте в статье:
➖ Часть 1.
➖ Часть 2.
#Разное
📦 IntroLabs. Практические задания и руководства для ИБ специалистов.
• Как уже стало понятно из названия, ниже представлена подборка практических лабораторных заданий для изучения различных аспектов информационной безопасности и пентеста, включая инструменты, работу с логами, журналами и т.д. Описание каждой лабы доступно по ссылкам ниже:
Intro To SOC:
- Linux CLI;
- Memory Analysis;
- TCPDump;
- Web Log Review;
- WindowsCLI;
- Wireshark;
- RITA;
- Nessus;
- DeepBlueCLI;
- Domain Log Review;
- Velociraptor;
- Elk In The Cloud;
- Elastic Agent;
- Sysmon in ELK;
Intro To Security:
- Applocker;
- Bluespawn;
- DeepBlueCLI;
- Nessus;
- Nmap;
- Password Cracking;
- Password Spraying;
- Responder;
- RITA;
- Sysmon;
- Web Testing;
Cyber Deception/Active Defense:
- Spidertrap;
- Cowrie;
- Canarytokens;
- RITA;
- Bluespawn;
- Portspoof;
- HoneyBadger;
- HoneyShare;
- HoneyUser;
- AdvancedC2;
- WebHoneypot;
- File Audit.
• Материал будет полезен не только начинающим, но и опытным ИБ специалистам.
#ИБ
• Как уже стало понятно из названия, ниже представлена подборка практических лабораторных заданий для изучения различных аспектов информационной безопасности и пентеста, включая инструменты, работу с логами, журналами и т.д. Описание каждой лабы доступно по ссылкам ниже:
Intro To SOC:
- Linux CLI;
- Memory Analysis;
- TCPDump;
- Web Log Review;
- WindowsCLI;
- Wireshark;
- RITA;
- Nessus;
- DeepBlueCLI;
- Domain Log Review;
- Velociraptor;
- Elk In The Cloud;
- Elastic Agent;
- Sysmon in ELK;
Intro To Security:
- Applocker;
- Bluespawn;
- DeepBlueCLI;
- Nessus;
- Nmap;
- Password Cracking;
- Password Spraying;
- Responder;
- RITA;
- Sysmon;
- Web Testing;
Cyber Deception/Active Defense:
- Spidertrap;
- Cowrie;
- Canarytokens;
- RITA;
- Bluespawn;
- Portspoof;
- HoneyBadger;
- HoneyShare;
- HoneyUser;
- AdvancedC2;
- WebHoneypot;
- File Audit.
• Материал будет полезен не только начинающим, но и опытным ИБ специалистам.
#ИБ
🔖 MindMaps на любой вкус.
• Коллекция различных MindMaps для пентестеров, специалистов в области информационной безопасности и Bug Bounty Hunters. Карты помогут в изучении нового материала или при выполнении определенной работы \ задачи. Добавляйте в закладки:
🧷 https://github.com/imran-parray/Mind-Maps
#ИБ
• Коллекция различных MindMaps для пентестеров, специалистов в области информационной безопасности и Bug Bounty Hunters. Карты помогут в изучении нового материала или при выполнении определенной работы \ задачи. Добавляйте в закладки:
🧷 https://github.com/imran-parray/Mind-Maps
#ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM