👨‍💻 10 популярных техник пентестеров.

🖖🏻 Приветствую тебя user_name.

• Предлагаю ознакомиться с интересным исследованием от Positive Technologies, в котором рассмотрены десять техник MITRE ATT&CK, успешно применяемые пентестерами в реальных проектах.

• Эксперты подобрали способы обнаружения этих техник и предложили перечень превентивных мер для предотвращения атак. Обязательно ознакомьтесь, весьма полезный материал:

• https://www.ptsecurity.com/ru-ru/

➕ Дополнение:

• Что такое база MITRE ATT&CK и для чего она нужна?

- Кто использует MITRE ATT&CK и почему?
- Что входит в матрицу MITRE ATT&CK?
- Преимущества MITRE ATT&CK
- Какие проблемы возникают при использовании MITRE ATT&CK?
- Как используют MITRE ATT&CK?

• https://www.securitylab.ru/analytics/537350.php

S.E. ▪️ S.E.Relax ▪️ infosec.work ▪️ #ИБ

🔍 Поиск скрытой информации на сайтах...

🖖🏻 Всем привет! На связи Майкрофт, специально для канала Social Engineering.

• Сегодня у нас в меню одна из наиболее интересных технологий поиска скрытой информации на различных сайтах. Имя ей – URL Fuzzing. В переводе на русский – поиск неиндексированных директорий внутри сайта.

• Но как найти то, не знаю что? Все очень просто – по словарю. Умные люди с GitHub создали огромное количество различных софтин и словарей для брутфорса каталогов сайта. К примеру, у Wordpress есть целая куча каталогов со стандартными именами, так почему бы не проверить их на доступность?

• По инструментам выбор тоже есть. Но я бы рекомендовал GoBuster и DirHunt. Первый включен в список инструментов #Kali Linux и уже содержит в себе словарь для брутфорса директорий сайтов. Второй – не брутфорсер. Это гибридный краулер, который самостоятельно обсчитывает сайт и ищет интересные директории. И никаких танцев с бубном со словарями. Ну и нагрузки он создает гораздо меньше.

• Все эти инструменты опробованы в бою и доказали свою эффективность. Пользуйтесь ими, но помните: был бы человек, а статья найдется. Поэтому использование даже таких безобидных вещей может быть расценено чуть ли не как DDoS-атака на сайт. Так что имейте это в виду и действуйте на свой страх и риск.

• Канал автора: https://t.me/mycroftintel

S.E. ▪️ S.E.Relax ▪️ infosec.work

💬 Социальная Инженерия и угон Telegram (v7).

🖖🏻 Приветствую тебя user_name.

• Продолжаю делиться с тобой актуальными методами фишинга в Telegram. На этот раз, скамеры решили завлекать свою "целевую аудиторию" на фишинговый ресурс с предложением получить единовременную выплату в размере 10 000 ₽.

• Жертве предлагаю заполнить анкету, указав номер телефона, ФИО, дату рождения, место учебы и образование. Далее происходит переадресация на фишинговый ресурс, где жертве предлагают отсканировать QR-код в приложении Telegram, тем самым привязав к своему аккаунту устройство злоумышленника. Предполагаю, что дальше всем и так всё стало понятно. Помимо своего аккаунта, жертва сливает очень приличный набор персональных данных, который служит для атакующего отличным дополнением к монетизации аккаунта.

• В данном случае, обход второго фактора не предусмотрен, что помогает избежать взлома. Напомню, что случаи угона аккаунтов различных сервисов (не только Telegram), в последнее время начали расти в геометрической прогрессии, а осведомленность пользователей как была на низком уровне, там и осталась. Старайтесь читать полезные новости и материалы в сфере #ИБ, пересылайте материал родственникам и друзьям, обезопасьте свое окружение и не дайте себя обмануть.

• Первоисточник новости: @intosecurity

S.E. ▪️ S.E.Relax ▪️ infosec.work

📚 Бесплатные курсы OWASP Top 10 для начинающих.

🖖🏻 Приветствую тебя user_name.

• Современный мир несет в себе тысячи угроз и потенциальных опасностей буквально на каждом шагу и в каждый момент времени. Всемирная сеть, ставшая неотъемлемой частью нашей жизни, не является исключением.

• Киберпреступность сейчас развита как никогда – ведь почти каждая организация имеет свой сайт в интернете, а хакер в сети может легко оставаться анонимным (при должном уровне знаний и опыта). При этом все компании, имеющие сайт в интернете, делятся на три типа:

1. Те, чей сайт уже сломали;
2. Те, чей сайт еще не ломали;
3. Те, кто знаком с основными векторами атак и защитил приложения.

• Если говорить о третьем пункте, то для его реализации требуется постоянно развиваться и практиковаться. Для изучения материала и получения практического опыта, сегодня я поделюсь очень красивым, полезным и уникальным курсом с элементами геймификации. Обязательно ознакомьтесь с материалом: https://application.security/free/owasp-top-10

➕ Другие бесплатные курсы:

• OWASP Top 10 for API;
• AWS Top 10;
• Front-end Top 5;
• OWASP Top 10 for iOS;
• Docker CLI Top 10;
• Docker Compose Top 10.

S.E. ▪️ S.E.Relax ▪️ infosec.work

👁 Big Brother is watching you.

🖖🏻 Приветствую тебя user_name.

• Для сохранения и обеспечения собственной анонимности и приватности придумано множество технологий самого разного уровня. Часть из них проверена временем, другая помогает против новейших методов цензуры. Благодаря этому мы еще можем оставаться невидимыми, нужно лишь не забывать пользоваться этой возможностью. Однако это тяжкий труд, который требует огромного объема знаний и практики.

• По ссылке ниже, ты сможешь найти полезный и структурированный список инструментов для обеспечения приватности. Список разделен на категории и постоянно обновляется: https://www.privacytools.io

• В дополнение: "Большой Брат следит за тобой" Джордж Оруэлл "1984".

S.E. ▪️ S.E.Relax ▪️ infosec.work

👁 PublicWWW.

🖖🏻 Всем привет! На связи Майкрофт, специально для канала Social Engineering.

• Моя настоящая страсть – это поисковики. Я люблю их разные: от классической корпорации зла добра Google, до метапоисковиков (как, например, Fagan Finder) и чат-ботов, которые скоро все эти поисковики заменят.

• Все эти поисковики объединяет одно: они используют краулеры для сбора содержимого сайта, из награбленного собранного делают базу данных и предоставляют возможностью юзеру задавать вектор поиска за счет ключевых слов и их сочетаний.

• А что, если я вам скажу, что есть и другие принципы работы поисковых систем, где базу данных краулеры собирают не из содержимого сайта, а из его кода? Это открывает невиданные доселе возможности для доркинга в совершенно другой плоскости. Например, чтобы найти пересечения сайтов по трекеру Google Analytics (UA-…) и AdSense (pub-…) теперь не нужны дополнительные сервисы. Нужен всего лишь один поисковик.

• И этот поисковик – PublicWWW. Теперь поиск уязвимостей стал как никогда простым! Хотите найти известные дырки в WordPress? Легко! И не просто дырки: указал кусок проблемного кода и сразу узнал, у кого эта проблема актуальна. Тоже самое про базы данных, ссылки и тексты. На мой скромный взгляд, это маленькая революция в мире #OSINT.

• Уверен, что со временем комьюнити оценит и полностью раскроет невероятный потенциал этого поисковика.

• Канал автора: https://t.me/mycroftintel

S.E. ▪️ S.E.Relax ▪️ infosec.work

💉 SQL-инъекции для начинающих.

🖖🏻 Приветствую тебя user_name.

• Современные веб-приложения имеют довольно сложную структуру. Для хранения информации активно используются базы данных на основе языка SQL. При обращении к какой-либо странице, веб-приложение формирует специальный SQL-запрос, который запрашивает в базе данных соответствующую запись. Результат запроса возвращается в веб-приложение, которое, в свою очередь, отображает его на странице браузера для пользователя.

• Использовать подобную схему взаимодействия удобно, но вместе с этим, возрастает риск появления SQL-инъекций. Суть их работы заключается во внедрении собственного кода в SQL-запрос к базе данных с целью получить дополнительную информацию от нее.

• Предлагаю ознакомиться с полезным материалом для начинающих, который поможет понять основы и выбрать правильное направление при изучении дальнейшей информации. Материал разделен на 3 части (оригинал и перевод на русский язык):

• Читать статью: [1], [2], [3].

• Материал на русском языке: [1], [2], [3].

S.E. ▪️ S.E.Relax ▪️ infosec.work

⚡️ 24 видеокарты RTX 4090 для взлома паролей.

🖖🏻 Приветствую тебя user_name.

• Кевин Митник, который в настоящее время является #ИБ-специалистом, опубликовал в Twitter свою новую систему для взлома паролей, состоящую из двадцати четырех видеокарт RTX 4090 на архитектуре Ada Lovelace и еще шести RTX 2080 на базе Turing, работающих под управлением Hashtopolis.

• https://twitter.com/kevinmitnick

• Как пишет Митник: «Вот с чем имеют дело компании, когда нанимают нас для работы в red team. Теперь у нашей команды есть новая большая группа GPU, позволяющая взламывать пароли гораздо быстрее».

• Рассчитать эффективность такой системы из 24 видеокарт и сделать соответствующие выводы, можно с помощью данной статьи: Восемь RTX 4090 могут взломать обычный пароль менее чем за час.

• Дополнительно: Hashcat. Как взломать хеш.

S.E. ▪️ S.E.Relax ▪️ infosec.work ▪️ #Новости

💬 true story... Пентест корпоративной сети.

🖖🏻 Приветствую тебя user_name.

• Одной телекоммуникационной компании потребовалось протестировать корпоративную сеть на проникновение с внутреннего периметра. Была поставлена простая, но глобальная задача — попытаться получить максимальные привилегии для рядового пользователя.

• Сегодня делимся с тобой историей из практики, которая наглядно покажет, к каким быстрым и катастрофическим последствиям может привести задержка с установкой патчей для серверного ПО:

• https://habr.com/ru/post/724966/

📌 Другие увлекательные истории: [1], [2], [3], [4], [5], [6], [7], [8], [9], [10], [11], [12], [13], [14], [15], [16], [17], [18], [19], [20].

S.E. ▪️ S.E.Relax ▪️ infosec.work ▪️ #История

🗺 GEOINT. Geolocation Estimation.

• Всем привет! На связи Майкрофт, специально на Social Engineering.

• Одна из самых сложных дисциплин разведки по открытым источникам, на мой скромный взгляд, это GEOINT. Найти место по фотографии – это как иголку в стоге сена, если, конечно, не знать пару особых приемов. Поэтому у опытных ресерчеров время поиска снижается с нескольких часов (а то и суток) бесцельного просмотра Google Maps к конкретному целевому поиску в конкретных местах.

• Нет, я, конечно, не предлагаю вам заучивать сотни видов дорожных знаков и навскидку отличать типы ограждений в различных районах Турции (хотя и это пригодится). Я сегодня пришел к вам с подгоном, который сильно сократит область поиска. Называется он Geolocation Estimation.

• С ним все просто: вставляете в него картинку, а дальше сервис сделает все за вас: извлечет метадату, определит тип местности, выделит характерные детали на картинке и сам сравнит ее с уже найденными похожими местами. То есть на карте вы получите целый ряд красных точек, где были замечены подобные детали. Это колоссально снижает зону поиска и экономики кучу нервов. Не благодарите!

• Канал автора: https://t.me/mycroftintel

S.E. ▪️ infosec.work ▪️ #OSINT

⚙️ Mimikatz. 64 способа запуска или кража учетных данных.

Mimikatz сделал для повышения безопасности больше, чем любой другой известный инструмент.

🖖🏻 Приветствую тебя user_name.

• Если говорить простыми словами, то Mimikatz — это инструмент, позволяющий извлечь данные аутентификации залогинившегося в системе пользователя в открытом виде.

• Я уже много писал и делился полезными ссылками для изучения данного инструмента. Весь материал можно найти по хэштегу #Mimikatz. Сегодня добавим к этому списку еще один полезный ресурс, где представлены 64 способа запуска нашего инструмента. Материал будет полезен пентестерам и этичным хакерам:

• https://redteamrecipe.com/64-Methods-For-Execute-Mimikatz/

• В дополнение: самое объемное и полноценное руководство по использованию Mimikatz в сети на сегодняшний день: https://adsecurity.org

S.E. ▪️ S.E.Relax ▪️ infosec.work ▪️ #Mimikatz

🔎 Утечка данных сайтов BI.ZONE: результаты расследования и процесс реагирования.

🖖🏻 Приветствую тебя user_name.

• Весьма интересное расследование по факту взлома виртуальных серверов BI.ZОNE, которые размещались на сторонней площадке хостинг-провайдера. Расписаны некоторые полезные техники и ответы на многие важные вопросы:

• Откуда были взяты данные;
• Как злоумышленники выгрузили данные:
- Взлом виртуальных серверов;
- Выгрузка резервных копий;
• Какие данные утекли;
• Итоги расследования;
• Меры реагирования;
• Хронология реагирования;

• Расследование: https://habr.com/ru/post/732656/

• Новость: https://xakep.ru/2023/05/02/bi-zone-dumpforums/

S.E. ▪️ infosec.work ▪️ #Новости

⌛️Назад в прошлое. Поиск информации в архивах.

• Всем привет! На связи Майкрофт, специально на Social Engineering.

• Вот вы говорите, Google – это наше все. Но я вам скажу так, по сравнению с этим монстром на стероидах Google - просто сосунок. Ну не совсем, но у Wayback Machine есть одно неоспоримое преимущество – возможность заглянуть в прошлое и увидеть, как выглядела страница несколько десятков (я не шучу) лет назад.

• Wayback Machine – это крайне недооцененный инструмент. Ведь кроме информации на страницах из Архива может сохраниться уязвимый код, а также интересные документы, которые, как думают безопасники, они давно удалили с сайта. Удалить-то удалили, но Интернет помнит все.

• Тоже самое касается и журналистов, которые играют в информационные атаки – даже если ты затер первоисточник – его можно восстановить через Архив.

• Не хотите запариваться с поиском истории whois – нет ничего проще – если сайт известный, то на нем будет сохранена история по домену.

• Как вы видите, Wayback Machine может быть использован не только для того, чтобы посмотреть на «креатифф» студии Артемия Лебедева от 1997 года и почитать утраченные треды на Дваче.

• Wayback Machine – это крупнейшее собрание книг, музыки, фильмов и PDF-документов (в том числе правительственных). И много чего другого. Особенно вкусно выглядят собранные JSON и SQL базы данных, которых давно уже нет на исходных сайтах. Как говорится, ты думаешь, что удалил суслика – а он есть. Так что имейте этот инструмент в виду!

• Канал автора: https://t.me/mycroftintel

S.E. ▪️ infosec.work ▪️ #OSINT

👤 Повышение уровня личной приватности и безопасности в сети.

🖖🏻 Приветствую тебя user_name.

• 21 век заставляет тебя заботиться о том, о чем следовало начать заботиться еще на заре развития сетей — о сохранении приватности, анонимности и защищенности коммуникаций!

• На прошлой неделе sector035 опубликовал полезную ссылку на руководство, которое содержит 160 страниц информации по защите личности в сети на различных ресурсах и приложениях. Ссылка на первоисточник: https://sector035.nl/articles/2023-17

• Скачать руководство можно тут: https://t.me/S_E_Reborn/750 или по ссылке выше.

S.E. ▪️ infosec.work

🍓 Клубника со сливками: Социальная Инженерия и обновление Windows.

🖖🏻 Приветствую тебя user_name.

• Специалисты Malwarebytes опубликовали интересное исследование, в котором упоминается старая, но весьма актуальная, схема обмана рядовых пользователей и кража различных данных.

• Все начинается с фишинговой кампании, которая акцентирована на различные ресурсы для взрослых (18+). Если жертва переходит на вредоносный сайт и подтверждает свой возраст, в браузере разворачивается полноэкранная анимация, которая выводит информацию об "обновлении" системы.

• Если пользователь дождался окончания действия, ему предлагают установить "критическое обновление безопасности". Это обновление представляет собой загрузчик вредоносного ПО, который не детектится AV и может различать среду в которой он был запущен (виртуальная машина или ПК жертвы).

• Да, выйти полноэкранного режима можно через кнопку "ESC", но рядовой пользователь не владеет такой информацией и будет ждать окончания "обновления". Это подтверждает статистика malwarebytes: 30 000 переходов на фишинговый ресурс и 600 установок вредоносного ПО.

• Демонстрация атаки доступна по ссылке: https://www.malwarebytes.com/

• Ссылка на исследование: https://www.malwarebytes.com/fake-system-update-drops-new-highly-evasive-loader

S.E. ▪️ infosec.work ▪️ #Новости

🔍 Burp Suite CheatSheets.

🖖🏻 Приветствую тебя user_name.

• Burp Suite – это мультитул (швейцарский нож) для проведения аудита безопасности веб-приложений. Содержит инструменты для составления карты веб-приложения, поиска файлов и папок, модификации запросов, фаззинга, подбора паролей и т.д.

• Burp Suite заслуженно является одним из популярнейших инструментов пентестеров по всему миру благодаря гибким возможностям, способам комбинировать ручные и автоматизированные методы анализа при проведении тестирования безопасности веб-приложений.

• Сегодня поделюсь полезным материалом для изучения данного инструменты и большой подсказкой, которая поможет тебе на практике: https://github.com/Ignitetechnologies/Mindmap

• Burp Suite for Pentester: Web Scanner & Crawler;
• Burp Suite for Pentester – Fuzzing with Intruder (Part3);
• Burp Suite for Pentester – Fuzzing with Intruder (Part2);
• Burp Suite for Pentester – Fuzzing with Intruder (Part1);
• Burp Suite for Pentester – XSS Validator;
• Burp Suite for Pentester – Configuring Proxy;
• Burp Suite for Pentester: Burp Collaborator;
• Burp Suite For Pentester: HackBar;
• Burp Suite for Pentester: Burp Sequencer;
• Burp Suite for Pentester: Turbo Intruder;
• Engagement Tools Tutorial in Burp suite;
• Payload Processing Rule in Burp suite (Part2);
• Payload Processing Rule in Burp suite (Part1);
• Beginners Guide to Burpsuite Payloads (Part2);
• Beginners Guide to Burpsuite Payloads (Part1);
• Burpsuite Encoder & Decoder Tutorial;
• Burp Suite for Pentester: Active Scan++;
• Burp Suite for Pentester: Software Vulnerability Scanner;
• Burp Suite for Pentester: Burp’s Project Management;
• Burp Suite for Pentester: Repeater.

• В дополнение: Burp и его друзья.

S.E. ▪️ infosec.work

👨‍💻 Social Engineering. Полезный материал.

🖖🏻 Приветствую тебя user_name.

• Сегодня у нас не будет определенной темы, а если быть точнее, то тем будет несколько. Все они связаны с Социальной Инженерией и будут крайне интересными. Я не захотел растягивать данный материал на несколько дней, чтобы забить ленту отдельными постами. Мне важнее поделиться качественным материалом в красивой подборке, которые Вы так любите.

• Начнем с интересной статьи от команды пентестеров, которые занимаются Социальной Инженерией на профессиональном уровне и описывают различные сценарии, нюансы и методы применяемые ими на практике. Обязательно прочитайте данный материал, будет интересно: https://habr.com/ru/post/733040/

• Идем дальше. Месяц назад у CodeBy вышел очень полезный вебинар на тему "За кулисами Red Team". На эту встречу были приглашены эксперты в области информационной безопасности, которые поделились опытом работы в Red Team и рассказали о самых интересных и необычных ситуациях в ходе проведения тестирования на проникновения в различных проектах. Посмотреть можно на YT: https://youtu.be/ITtiyhA0rwU

• Еще одно интересное видео на тему Социальной Инженерии и Lockpicking: "Взлом лифтов - Из шахты в пентхаус". Да, тема весьма необычная и о ней мало кто говорит. Однако, взлом лифтов может сыграть важную роль в ходе проведения тестирования на проникновение. Данный материал посвящен тому, как работают лифты - чтобы Вы могли лучше понимать их устройство, оптимизировать системы и преодолевать защиту на многих объектах. Вы узнаете, почему лифт практически ничем не отличается от незапертой лестницы с точки зрения безопасности здания: https://youtu.be/8BJXuhV3UeM

• В завершение хочу напомнить о материале, который уже опубликован в нашем канале, но это было весьма давно и с момента публикации появилось много новых читателей. Речь идет о видео "Red team: пентест одновременно двух организаций". Подробное описание и ссылка на видео в этом посте: https://t.me/Social_engineering/1109

S.E. ▪️ infosec.work

📬 Email Location Tracker.

• Всем привет! На связи Майкрофт, специально на Social Engineering.

• Открывать письма в электронной почте – совершенно небезопасное занятие. Вы спросите меня почему? Я вам отвечу. Помимо троянов и вирусняков в письмах может быть зашит пренеприятнейший субъект размером 1x1 пиксель, который сдаст вас с потрохами.

• Как это работает? Когда вы загружаете этот маленький невидимый пиксель – он пингует свой сервер, на который отправляет информацию о вашем IP-адресе, системном времени, операционной системе, если есть, то и о геопозиции. А если вы открыли письмо в браузере – то и все о его конфигурации тоже утечет на сторону. Что особенно неприятно, что некоторые сервисы собирают даже информацию о железе, например, о модели мобильного телефона, с которого открыли письмо.

• Изначально пиксель-треккинг создавался для маркетологов: они контролировали открываемость и дочитываемость писем, составляли тепловые карты текстов и делали A/B тестирование. Но умные люди сообразили, что с помощью этого инструмента можно легко деанонить неопытного юзера. А уж для правоохранителей, вооруженных СОРМ – вызнать IP у анонимного автора нежелательного контента – это один шаг до его деанонимизации.

• Хотите попробовать себя в роли охотника – милости просим на один из многочисленных сервисов. Вот, например, Geo Track, который может все, о чем было рассказано выше, плюс еще немножко. Пользуйтесь на здоровье, но не забывайте про собственную безопасность!

• Канал автора: https://t.me/mycroftintel

S.E. ▪️ infosec.work ▪️ #OSINT