​​Сокрытие Reverse TCP shellcode в PE-файле | Часть 1

Иноязычное описание данного метода является достаточно большим. В связи с этим, я решил разделить его на 2, более мелкие части. Приятного ознакомления. Предположим, что во время проведения тестирования на проникновение вам понадобилось получить доступ к определённому устройству исследуемой организации. На этом этапе, вы можете создать PE-файл бэкдор с помощью собственного шелл-кода, без увеличения размера исполняемого файла или изменения его предполагаемой функциональности. Как это можно реализовать и при этом не привлечь внимание антивирусов? О способе доставки и писать нечего. Смоделируем такую ситуацию: после проведения сбора информации о тестируемой организации, вы узнали, что большое количество сотрудников использует определенное программное обеспечение. Тогда, методом социальной инженерии, есть шанс проникнуть в сеть жертвы. Для этого понадобится отправить некоторому объекту (сотруднику) фишинговое сообщение с ссылкой для загрузки «Обновленной версии этой программы», которая на самом деле является бэкдор-бинарным файлом. Мы также обсудим различные методы затруднения обнаружения бэкдора в PE-файле. На каждом этапе основное внимание уделяется тому, чтобы файл с бэкдором был полностью не обнаружимым. Слово «не обнаруживаемый» здесь используется в контексте статического анализа времени сканирования. Для изучения описываемых далее действий желательно понимание формата PE-файла, сборки x86 и отладки.

Читать: https://codeby.net/threads/sokrytie-reverse-tcp-shellcode-v-pe-fajle-chast-1.76810/

#backdoor #pe #reverse

​​Сокрытие Reverse TCP shellcode в PE-файле | Часть 2

На данный момент мы создали новый раздел заголовка, поместили в него наш шелл-код, перехватили поток выполнения и при этом достигли нормальной работы приложения. В этой части мы объединим два метода для сокрытия бэкдора от AV и постараемся устранить недостатки метода секции сумматора, описанного выше. Ниже приведены те методы, о которых сегодня пойдёт речь: ​Запуск шелл-кода на основе взаимодействия пользователя с определенной функцией; ​Поиск и использование пещер в коде (code cave).​

Читать: https://codeby.net/threads/sokrytie-reverse-tcp-shellcode-v-pe-fajle-chast-2.76814/

#backdoor #pe #reverse

​​По горячим следам: эпизод три - не неуловимый стиллерщик и его просчеты

И сразу же немного предыстории, давайте окунемся во вчерашний, но только для меня, день. Искали мы любого барыгу на торговой площадке, поясню за слово “барыга” - продавец краденого, если говорить проще. Визуально очень просто определить подобного персонажа: имеет он в продаже практически все виды игр и все типы аккаунтов, в основном привязка к иностранным почтам, но последнее не всегда. Также после покупки определенного товара, если вам удастся заполучить родную почту аккаунта во своё владение, вы сможете заметить какую-либо спам рассылку, так случилось и в нашем случае. Хотя случай определенно редкий, ведь обычно продавцы сами покупают логи где-то, а не распространяют обман. Попав в дискорд польской жертвы видим до боли знакомую картину маслом:

Читать: https://codeby.net/threads/po-gorjachim-sledam-ehpizod-tri-ne-neulovimyj-stillerschik-i-ego-proschety.78280/

#phishing #backdoor #pe

​​Обзор PPEE, Инструмент для детального изучения файлов

Привет всем! Решил я тут сделать краткий обзор инструмента PPEE (Puppy). Этот инструмент предназначен для детального исследования файлов. В конце статьи будут полезные ссылки. Начнём с теории, а дальше исследуем 1 exe файл. Все параметры PE файла я описывать не буду. Только часто используемые.

Читать: https://codeby.net/threads/obzor-ppee-instrument-dlja-detalnogo-izuchenija-fajlov.75315/

#exe #pe #reverse

​ASM – Тёмная сторона РЕ-файла

Исполняемым файлом в системах класса Win является "Рortable-Еxecutable", или просто РЕ. Инженеры Microsoft потрудились на славу, чтобы предоставить нам спецификацию на него, однако некоторые "тузы в рукавах" они всё-таки припрятали. В данной статье рассматривается недокументированная часть РЕ-файла, ознакомившись с которой можно будет собирать информацию о процессе создания файлов компилятором.

📌 Читать статью: https://codeby.net/threads/asm-tjomnaja-storona-re-fajla.79133/

📝 Школа Кодебай |🍿Наш ютуб |👾 Наш дискорд

#asm #fasm #pe

​Elcomsoft System Recovery (сброс и восстановление оригинальных паролей)

Рассмотрим как работают платные решения для восстановление доступа к учётным записям и не только.

📌 Читать статью: https://codeby.net/threads/elcomsoft-system-recovery-sbros-i-vosstanovlenie-originalnyx-parolej.76203/

📝 Школа Кодебай |🍿Наш ютуб |👾 Наш дискорд

#elcomsoft #bitlocker #pe

​РЕ-файлы – знакомство с ресурсом "RT_VERSION"

Исполняемые файлы имеют фишку, на которую начинающие программисты редко обращают внимание – это директория "VERSION" в секции-ресурсов.

📌 Читать статью: https://codeby.net/threads/re-fajly-znakomstvo-s-resursom-rt_version.76550/

📝 Школа Кодебай |🍿Наш ютуб |👾 Наш дискорд

#asm #pe

​Утилита Shellter: Теория, первый запуск и авто-режим + результаты тестов антивирусов

В цикле статей рассматривается работа с утилитой Shellter, служащей для упаковки исполняемого кода в выбранный исполняемый файл. Функциональность исходного файла при необходимости может быть сохранена.

📌 Читать статью: https://codeby.school/blog/informacionnaya-bezopasnost/utilita-shellter-teoriya-pervyy-zapusk-i-avto-reghim-rezultaty-testov-antivirusov

📝 Школа Кодебай |🍿 YouTube |🌀 ВКонтакте

#shellter #pe

​Утилита Shellter: Подготовка и настройка shelltera вручную. Сравнение ручного и auto режима по тестам

В предыдущей статье были кратко рассмотрены принципы, по которым работают современные антивирусы и показана работа утилиты shellter в автоматическом режиме. Результаты работы утилиты оказались интересными, но малоприменимыми в практическом тестировании на проникновение.

📌 Читать статью: https://codeby.school/blog/informacionnaya-bezopasnost/utilita-shellter-podgotovka-i-nastroyka-shelltera-vruchnuyu-sravnenie-ruchnogo-i-auto-reghima-po-testam

📝 Школа Кодебай |🍿 YouTube |🌀 ВКонтакте

#shellter #pe

​Сокрытие Reverse TCP shellcode в PE-файле | Часть 1

Приветствую, обыватель CODEBY.NET. Предположим, что во время проведения тестирования на проникновение вам понадобилось получить доступ к определённому устройству исследуемой организации. На этом этапе, вы можете создать PE-файл бэкдор с помощью собственного шелл-кода, без увеличения размера исполняемого файла или изменения его предполагаемой функциональности. Как это можно реализовать и при этом не привлечь внимание антивирусов? О способе доставки и писать нечего.

📌 Читать статью

#shell #network #pe

​ASM – Тёмная сторона РЕ-файла

Исполняемым файлом в системах класса Win является "Рortable-Еxecutable", или просто РЕ. Инженеры Microsoft потрудились на славу, чтобы предоставить нам спецификацию на него, однако некоторые "тузы в рукавах" они всё-таки припрятали. В данной статье рассматривается недокументированная часть РЕ-файла, ознакомившись с которой можно будет собирать информацию о процессе создания файлов компилятором. Антивирусные компании уже давно практикуют эту фишку своих сканерах, а для широкого круга общественности её так и не предали огласке.

📌 Читать далее

#asm #pe

​Сокрытие Reverse TCP shellcode в PE-файле | Часть 2

Приветствую, обыватель CODEBY.NET Иноязычное описание данного метода является достаточно большим. В связи с этим, я решил разделить его на 2, более мелкие части. Приятного ознакомления со 2 частью. На данный момент мы создали новый раздел заголовка, поместили в него наш шелл-код, перехватили поток выполнения и при этом достигли нормальной работы приложения. В этой части мы объединим два метода для сокрытия бэкдора от AV и постараемся устранить недостатки метода секции сумматора, описанного выше.

📌 Читать далее

#shell #network #pe

​ASM – Тёмная сторона РЕ-файла

Исполняемым файлом в системах класса Win является "Рortable-Еxecutable", или просто РЕ. Инженеры Microsoft потрудились на славу, чтобы предоставить нам спецификацию на него, однако некоторые "тузы в рукавах" они всё-таки припрятали. В данной статье рассматривается недокументированная часть РЕ-файла, ознакомившись с которой можно будет собирать информацию о процессе создания файлов компилятором. Антивирусные компании уже давно практикуют эту фишку своих сканерах, а для широкого круга общественности её так и не предали огласке.

📌 Читать далее

#asm #pe