​​Атака на Microsoft Exchange с помощью ProxyShell

Новая группа вымогателей, именуемая как LockFile, занимается взломом серверов Microsoft Exchange и шифрованием доменов Windows с использованием недавно обнаруженных уязвимостей ProxyShell.

ProxyShell - это атака на Microsoft Exchange с помощью трёх (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207), связанных между собой, уязвимостей. Она позволяет удалённо выполнять код без аутентификации. Microsoft устранила эти уязвимости ещё в мае 2021 года, но недавно были раскрыты дополнительные технические детали, которые дали эксплойту вторую жизнь.

Злоумышленники начали активно сканировать и взламывать сервера компании. После использования сервера Exchange, киберпреступники загружали веб-шелл на него, который давал доступ для более обширных действий. При проникновении в сеть, LockFile сначала получала доступ к серверу Exchange, используя атаку ProxyShell, а после использовала уязвимость PetitPotam для захвата доменов Windows и шифрования устройств.

Чтобы исправить уязвимости ProxyShell, необходимо установить последние обновления Microsoft Exchange. Атаку PetitPotam устранить не так просто, поскольку обновления безопасности Microsoft не исправляют все векторы уязвимостей. Чтобы заблокировать этот вектор атаки ретрансляции NTLM, можно установить неофициальный патч от 0patch, либо же применить фильтры NETSH RPC, которые блокируют доступ к уязвимым функциям в MS-EFSRPC API.

Источник

#infosec #microsoft #exploit

​​Сказание о том, как Игорь начинал выполнять челленджи HTB

Тёплые, ясные летние вечера лета начинают становиться прохладными и более тёмными. Ночь и прохладная тьма мало-помалу начинают господствовать над силами света. В одну из таких ночей Игорь не спал. Бессонница истязала его в тот момент, это было частое явление. Работа в качестве сетевого админа часто выматывала его. Эх, если бы невозможность уснуть была единственной причиной того, почему в эту ночь он не спал.

Читать: https://codeby.net/threads/skazanie-o-tom-kak-igor-nachinal-vypolnjat-chellendzhi-htb.74543/

#ctf #forensic

​😈 Постэксплуатация. Подборка инструментов.

🖖🏻 Приветствую тебя user_name.

• Эксплуатация представляет собой последовательность действий, которая помогает атакующему получить доступ к исследуемой системе, используя уязвимость или ошибку в настройках.

• Постэксплуатация — это один из этапов взлома компьютерных систем, позволяющий собирать дальнейшую информацию о целевой системе, получить дальнейший доступ к сети и хранящимся данным. Фаза постэксплуатации позволяет идентифицировать такие вещи, как дополнительные подсети, маршрутизаторы, названия серверов, сетевых служб и установленных приложений.

• Как известно, идеальных систем не бывает — всегда найдется уязвимое место, где можно закрепиться и продвинуться вглубь. Но если у тебя одна-единственная точка входа, то каждый твой шаг должен быть досконально продуман и каждое решение должно быть тщательно взвешено.

• В этом посте я собрал для тебя подборку инструментов для постэксплуатации, описание каждого инструмента и всю необходимую информацию, ты найдешь перейдя по ссылке нужного инструмента:

• 3snake • Apfell • Backdoorme • CatTails • Cloudy-kraken • Covenant • CrackMapExec • CredCrack • Creddump • DBC2 • DET • DNSlivery • Dnsteal • Empire • Enumdb • EvilOSX • Fireaway • FruityC2 • GetVulnerableGPO • Ghost In The Logs • HoneyBadger •
HoneypotBuster • Iodine • Koadic • Mallory • Mimikatz • Mimikittenz • NoPowerShell • Orc • P0wnedShell • PacketWhisper • Paragon • Pivoter • Poet • PoshC2 • PowerOPS • ProcessHider • Pupy • Pwnat • Pypykatz • RedGhost • RemoteRecon • RottenPotatoNG • Rpc2socks • SafetyKatz • Shad0w • SharpC2 • SocksOverRDP • SpYDyishai • SprayWMI • Tgcd • TheFatRat •
WCE • Weasel •

• Ценность взломанной системы определяется весомостью фактических данных, хранящихся в ней, и тем, как ты можешь их использовать в своих целях.

‼️ Дополнительный материал, ты сможешь найти по хештегу #Пентест #ИБ #Hack и #tools. Твой S.E.

​​​Пароли под защитой GPG

Хранить пароли в гугл-хроме очень удобно. Можно залогиниться с любого устройства под своим аккаунтом и получить доступ ко всем сайтам и паролям. Круто? Круто. До тех пор, пока вы не поймаете стилер. Проприетарные менеджеры так же удобны. Но концепция хранения моих паролей где-то там, на каких-то серверах меня не впечатляет. А мы сегодня будем использовать связку gpg + pass + browserpass.

Читать: https://codeby.net/threads/paroli-pod-zaschitoj-gpg.70288/

#gpg #pass #web

​​Программирование HDD/SSD. Часть.2 – практика

Прикладная программа общается с физ.устройством через его драйвер, т.к. запросы должны преодолеть запретную черту из юзера в кернел. Как-правило, одно устройство (в нашем случае диск) на разном уровне обслуживает сразу несколько связанных в цепочку драйверов – в литературе, эту цепочку назвали "стеком-драйверов". В то-же время, пользователь не может вызывать функции драйвера напрямую, поэтому система подключает посредников, в лице диспетчера ввода-вывода I/O Manager (по требованию юзера формирует пакеты запроса на ввод-вывод IRP), и диспетчера объектов Object Manager (прописывает символические ссылки на каждый из драйверов в системном пространстве имён).

Читать: https://codeby.net/threads/programmirovanie-hdd-ssd-chast-2-praktika.74805/

#programming #asm #ioctl

​Razer для повышения прав в Windows

В Twitter был опубликован пост, раскрывающий уязвимость Razer Synapse. При подключении мыши или клавиатуры Razer к Windows 10 или Windows 11, ОС автоматически устанавливает на компьютер Razer Synapse. По словам компании, уязвимую программу используют более чем 100 миллионов пользователей.

Эксперт обнаружил уязвимость нулевого дня в ПО Razer Synapse для получения привилегий SYSTEM. Привилегии SYSTEM дают полный контроль над системой.

Эксперт написал об этом Razer, но так и не получив ответа, опубликовал свою находку в Twitter, подробно объяснив, как работает эта ошибка.

Уязвимость заключается в указании пути для программы. При определённых действиях, диалоговое окно позволяет открыть PowerShell, который запускается с привилегиями SYSTEM.

После того, как эта уязвимость привлекла широкое внимание в Twitter, компания Razer сообщила, что выпустит исправление.

Источник

#infosec #razer #exploit

​​SYSENTER – скрытый запуск Native-API

Многоуровневое разграничение прав в системах класса Windows, накладывает свой отпечаток на систему безопасности в целом. Разработчикам логичней было создать один защитный пласт и закрыть его на большой замок, но они раскромсали его на мелкие части, в результате чего появилось множество дыр и обходных путей на разных уровнях. В данной статье рассматривается одна из таких лазеек, а точнее – скрытый запуск ядерных API-функций, что даёт возможность прямо под юзером обходить различные гуарды, мониторы безопасности, API-шпионы, антивирусы и прочие силовые структуры. Не сказать, что тема новая.. просто она незаслуженно забыта, и в силу своей сложности всё реже встречается в защитных механизмах наших дней.

Читать: https://codeby.net/threads/sysenter-skrytyj-zapusk-native-api.75264/

#asm #sys #api

​Уязвимости электронной почты

Area 1 Security опубликовала исследование, в котором проанализировала более 31 миллиона угроз из разных отраслей. В отчёте сказано, что ряды угроз, в частности BEC (Business Email Compromise) - атаки, которые использует корпоративную электронную почту, могут приводить к огромным убыткам с невообразимыми суммами, если эти угрозы не предотвращать.

Основные выводы исследования:
✔️ Практически в 9% атак использовался спуфинг, подмена домена и изменение отображаемого домена. Другие атаки включали сборщики учётных данных (9,33%), вредоносные ссылки (8,96%) и навесное оборудование (3,31%).
✔️ На список из 10 организаций приходится более 56% всех атак, в котором ВОЗ, Google и Microsoft входят в тройку самых популярных.
✔️ В некоторых случаях поддельные электронные письма скрывали атаки BEC. Несмотря на их небольшое количество (1,3%), с данного вида злоумышленники получили 1,5 миллиона долларов.

Рекомендации по эффективной защите:
✔️ Защитите свои учётные записи добавив многофакторную аутентификацию (MFA). Никогда не повторяйте пароли.
✔️ Обучите сотрудников процедурам предотвращения финансовых проблем, в случае BEC или финансового мошенничества, например: проверки поставщика при переводе средств на новый счёт.
✔️ Проверяйте все сообщения, которые приходят по электронной почте: оценивайте достоверность сообщений, помимо отправителя, чтобы снизить риск от скомпрометированных партнёров.

Источник

#infosec #email

Топ-15 уязвимостей Linux

#infosec #linux #exploit

​​Новостной дайджест по ИБ/IT за 16.08-23.08

Здравия всем, дамы и господа. Пока за окном моего купе проносятся просторы России, мои пальцы проносятся по клавишам и создают сей текст. Приятного чтения.

Читать: https://codeby.net/threads/novostnoj-dajdzhest-po-ib-it-za-16-08-23-08.78330/

#news #it #digest

🔥 The Codeby представляет 🔥

Курс «SQL-injection Master» ©

Старт курса 25 сентября

В курсе рассматриваются навыки работы с SQL-запросами к базам данных. Также вы научитесь находить уязвимости связанные с базами данных, и внедрять произвольный SQL-код в уязвимые приложения.

Подробнее: https://school.codeby.net/lms/courses/76-sql-injection-master.html

#sqlinj #codeby

​​Как Игорь Volatility framework изучал и сетевой дамп смотрел

Утро. Звенит будильник. Некоторые делают зарядку, завтракают, одеваются и идут на работу. После работы идут домой. День Игоря прошёл также. За исключением одного, во время беседы с неестественным в той компании коллегой, речь зашла о дампах памяти. Имя того служащего — Николай. В той беседе решено было вечерком встретиться у Игоря дома и обсудить форензику. Главная тема их беседы - The Volatility Framework.

Читать: https://codeby.net/threads/kak-igor-volatility-framework-izuchal-i-setevoj-damp-smotrel.74669/

#framework #forensic #wireshark

​​ZeroNights 2021 международная конференция по ИБ

Десятая международная конференция ZeroNights в летнем Петербурге на берегу Финского залива.

Эксклюзивные выступления, тематические конкурсы, долгожданная встреча с единомышленниками.

Присоединяйтесь к прямой трансляции от Codeby!

✔️ Twitch.tv
✔️ YouTube
✔️ Vk.com
✔️ Facebook

​​Утечка данных Microsoft Power Apps

Эксперты сообщили 47 государственным и частным организациям об утечке данных из приложений Power Apps, настроенных на общий доступ.

Группа специалистов UpGuard обнаружила множество утечек данных, раскрывшие 38 миллионов записей, связанных с Microsoft Power Apps, которые были настроены на публичный доступ.

PowerApps позволяет легко создавать аналитические приложения, размещаемые в облаке, а порталы PowerApps используются для создания веб-сайтов. Проблема утечки данных связана с API Open Data (0Data), через который можно получить данные, отображаемые на порталах PowerApps.

Microsoft предупреждает: если правильные настройки не заданы и канал OData включен, то данные списков могут быть доступны анонимным пользователям. Эксперты обнаружили, что именно так обстоят дела с данными многих организаций.

24 мая 2021 года исследователь из UpGuard обнаружил, что OData API для портала Power Apps имеет анонимный доступ к данным списка, включая персонально идентифицируемую информацию. Отчет был представлен в Microsoft 24 июня.

Источник

#infosec #microsoft

​Троян в WhatsApp

Модификация WhatsApp, популярного мессенджера на Android, была заражена трояном, который показывал рекламу и оплачивал премиум-подписки без ведома владельца.

"Троян, под названием Triada, проник в модифицированный FMWhatsApp версии 16.80.0 вместе с комплектом разработки рекламного ПО (SDK)", - сообщили в своём отчёте специалисты из Kaspersky. Ранее, с APKPure была похожая проблема, где единственным вредоносным кодом был загрузчик полезной нагрузки.

Обнаруженный "Касперским" взломанный вариант приложения оснащен функцией сбора уникальных идентификаторов устройств, которые отправляются на удаленный сервер, получающий в ответ ссылку на полезную нагрузку, которая впоследствии загружается, расшифровывается и запускается трояном Triada.

Источник

#infosec #whatsapp #trojan

​​Блог начинающего Bug Хантера. Ищем баги за еду. Часть 2

Сегодняшняя тема думаю многим будет интересна и многие смогут поучаствовать при желании. А речь пойдет о недавно открытой программе Bug Bounty от Азбуки Вкуса. И что мне понравилось в данной программе, то что оплату можно получать продуктами, точнее бонусами, которые придут на карту. Также можно и деньгами, но если бонусами, то это сумма умножается на 1.5.

Читать: https://codeby.net/threads/blog-nachinajuschego-bug-xantera-ischem-bagi-za-edu-chast-2.73137/

#bug #bounty

​Новая уязвимость iPhone

Исследователи из Citizen Lab обнаружили новую уязвимость в iMessage, использующуюся для установки шпионского ПО Pegasus от NSO Group на устройствах бахрейнских активистов.

В общей сложности у девяти бахрейнских активистов (включая членов Бахрейнского центра по правам человека) были взломаны iPhone в ходе кампании, частично организованной с помощью Pegasus, которую Citizen Lab с высокой уверенностью связывает с правительством Бахрейна.

Шпионское ПО было внедрено на их устройства после компрометации с помощью двух эксплойтов iMessage с Zero-click (удалённая атака на устройство, не требующая взаимодействие с пользователем): эксплойта 2020 KISMET и нового, ранее не встречавшегося эксплойта под названием FORCEDENTRY.

Источник

#infosec #apple #exploit

​​Блог начинающего Bug Хантера. Уязвимости при SMS-аутентификации + Кейсы. Часть 3.1

Здесь разберем уязвимости, с которыми можно столкнуться при реализации SMS-аутентификации. Все описанные уязвимости не просто в теории, а со всеми описанными типами уязвимостями встречался на пентестах и на BugBounty.

Читать: https://codeby.net/threads/blog-nachinajuschego-bug-xantera-ujazvimosti-pri-sms-autentifikacii-kejsy-chast-3-1.73191/

#bug #bounty #sms

​Мошенник проник в тысячи аккаунтов iCloud, чтобы найти обнаженные фотографии

Преступник из Лос-Анджелеса признал себя виновным в совершении тяжких преступлений, после взлома тысяч аккаунтов iCloud, в поисках фотографий обнаженных женщин.

Хао Куо Чи собрал более 620 000 частных фото и видео, выдавая себя за сотрудников службы поддержки Apple, рассылал электронные письма, заставляя своих жертв предоставить идентификаторы и пароли Apple. Чи использовал социальную инженерию и фишинговые схемы.

Афера Чи провалилась после того, как в марте 2018 года он взломал аккаунт iCloud публичного лица, и фотографии оказались на порнографических сайтах. ФБР начало расследование и обнаружило, что вход в аккаунт iCloud жертвы был осуществлен из дома Чи.

Чи признал себя виновным по одному пункту обвинения в сговоре и трем пунктам обвинения в получении несанкционированного доступа к защищенному компьютеру, и теперь ему грозит до пяти лет тюрьмы за каждое преступление.

После этого инцидента компания Apple усилила защиту учетных записей iCloud, предложив двухфакторную аутентификацию и отправляя электронные письма при каждом новом входе в учетную запись iCloud.

Источник

#infosec #apple #cloud