BitlockMove - инструмент предназначенный для бокового перемещения с помощью Bitlocker. Создан на платформе .NET и может быть запущен из любой системы, способной загружать и выполнять сборки в памяти процесса.

Принцип работы
1️⃣Для компонента удалённого перечисления сеансов инструмент использует недокументированные API Microsoft, которые являются частью библиотеки winsta.dll. DLL связана с двоичным файлом, который является частью экосистемы Windows под названием qwinsta и может отображать информацию о сеансах на удалённом рабочем столе.
🔺WinStationOpenServerW - открывает дескриптор для указанного сервера.
🔺WinStationCloseServer - закрывает доступ к серверу.
🔺WinStationEnumerateW - перечисляет все сеансы в системе.
🔺WinStationQueryInformationW - получает информации о сеансе.

2️⃣В режиме атаки BitLockMove устанавливает удалённое соединение с целевым хостом через инструменты управления Windows (WMI) и выполняет запрос. Таким образом, получаются данные о состоянии службы удалённого реестра, и запрос пытается включить службу.

Путь к реестру создаётся для подготовки среды к перехвату COM. В частности, инструмент создаёт запись в реестре для ключа CLSID A7A63E5C-3877-4840-8727-C1EA9D7A4D50 и его подразделов. Этот ключ связан с BitLocker, поскольку процесс BaaUpdate.exe пытается загрузить этот отсутствующий ключ на устройствах Windows. Метод позволяет удаленно запустить процесс BitLocker. Это действие выполняется с помощью класса BDEUILauncher.

Режимы работы инструмента
🔺Перечисление (узнать, какие пользователи активны на целевом узле): BitlockMove.exe mode=enum target=<targetHost>.
🔺Атака (чтобы выполнить код в удалённой системе, необходимо указать целевое имя пользователя, путь к DLL, а также команду для выполнения): BitlockMove.exe mode=attack target=<targetHost> dllpath=C:\windows\temp\pwned.dll targetuser=local\domadm command="cmd.exe /C calc.exe".

🔺Обнаружение
Несмотря на то, что метод выполняется в контексте доверенного процесса BitLocker (BdeUISrv.exe), существует множество возможностей для его обнаружения на разных этапах.

Используемые инструментом API связаны с двумя библиотеками DLL: winsta.dll и wtsapi32.dll. Легальные инструменты, такие как qwinsta.exe и tsadmin.msc, загружают эти библиотеки в рамках своей функциональности. При обнаружении следует обращать внимание на события для нестандартных процессов, которые пытаются загрузить эти библиотеки.

🔺Следует отметить, что злоумышленники всегда могут внедрить свой имплант в один из этих доверенных процессов Microsoft. Однако это действие создаст дополнительные возможности для обнаружения, связанные с методом внедрения в доверенный процесс.

🐢CloudPEASS (Cloud Privilege Escalation Awesome Script Suite) - набор инструментов, использующий передовые методы для перечисления пользовательских разрешений (в зависимости от облака используются разные методы перечисления разрешений) и аналитические данные HackTricks Cloud, а также HackTricks AI для сопоставления конфиденциальных разрешений с потенциальными атаками.

💼AzurePEAS🖥
Предназначен для перечисления прав доступа в Azure и Entra ID средах, с особым вниманием к обнаружению путей повышения привилегий и выявлению потенциальных угроз безопасности.

Запустить AzurePEAS можно, указав токены в командной строке или задав их в качестве переменных среды:

python3 AzurePEAS.py [--arm-token <AZURE_MANAGEMENT_TOKEN>] [--graph-token <AZURE_GRAPH_TOKEN>]

🌐GCPPEAS🔍
Предназначен для перечисления разрешений в Google Cloud Platform (GCP), выявления потенциальных путей повышения привилегий и других векторов атак без изменения каких-либо ресурсов.
Проверки начинаются со сбора проектов, папок и организаций, которые может перечислить скомпрометированный субъект, а затем поиск расширяется для обнаружения виртуальных машин, функций, корзин хранилища и служебных учетных записей.

Установка токена среды и запуск GCPPEAS с нужными параметрами:

export CLOUDSDK_AUTH_ACCES_TOKEN=$(gcloud auth print-access-token)

# Запуск GCPPEAS
python3 GCPPEAS.py [--token <TOKEN>] [--extra-token <EXTRA_TOKEN>] [--projects <PROJECT_ID1>,<PROJECT_ID2>] [--folders <FOLDER_ID1>,<FOLDER_ID2>] [--organizations <ORGANIZATION_ID>] [--service-accounts <SA_EMAIL1>,<SA_EMAIL2>] [--billing-project <BILLING_PROJECT_ID>]

🔒AWSPEAS⚡️
Предназначен для перечисления разрешений AWS и выявления потенциальных путей повышения привилегий, предоставляя подробную информацию о состоянии безопасности системы AWS.

# Обычное использование с указанием профиля и региона
python3 AWSPEAS.py --profile <AWS_PROFILE> --region <AWS_REGION>

# Добавление конкретных AWS сервисов
python3 AWSPEAS.py --profile <AWS_PROFILE> --region <AWS_REGION> --aws-services s3,ec2,lambda,rds,sns,sqs

🤯PrivateGPT🔓

Готовый к использованию AI проект, предоставляющий частную, безопасную, настраиваемую и простую в использовании среду разработки GenAI. Использует большие языковые модели (LLMs), даже без подключения к Интернету. Обеспечивает 100% конфиденциальность, так как никакие данные не покидают среду выполнения.

🧩 Архитектура
PrivateGPT — это API, которое оборачивает RAG-пайплайн и предоставляет доступ к его примитивам.
🔺API построено на FastAPI и следует схеме API OpenAI.
🔺В основе RAG-пайплайна лежит LlamaIndex.

Архитектура PrivateGPT спроектирована так, чтобы легко расширять и адаптировать как само API, так и реализацию RAG.

Основные принципы архитектуры:
🔺Гибкость: используется процесс внедрения зависимостей, что позволяет разделять компоненты и уровни.
🔺Модульность: применяются абстракции LlamaIndex (LLM, BaseEmbedding, VectorStore), поэтому можно быстро менять конкретные реализации.
🔺Простота: минимум дополнительных слоёв и абстракций.
🔺Готовность к работе: из коробки доступна полноценная реализация API и RAG-пайплайна.

💻 Установка
Клонируйте репозиторий и перейдите в него:

git clone https://github.com/zylon-ai/private-gpt
cd private-gpt

Установите и настройте Python 3.11 с помощью pyenv:

pyenv install 3.11
pyenv local 3.11

Установите Poetry для управления зависимостями:

curl -sSL https://install.python-poetry.org | python3 -

PrivateGPT позволяет настраивать систему, от полностью локальной до облачной, выбирая используемые модули. Чтобы установить только необходимые зависимости можно использовать различные extras, которые можно комбинировать в процессе установки:

poetry install --extras "<extra1> <extra2>..."

Где <extra> может быть любым из следующих вариантов, описанных в документации.

👤 Использование профилей
PrivateGPT настраивается с помощью профилей, которые определяются с помощью YAML-файлов и выбираются с помощью переменных среды. Полный список настраиваемых свойств можно найти в settings.yaml.
Существующие профили можно использовать, установив для переменной среды PGPT_PROFILES определенное значение имени профиля:

export PGPT_PROFILES=my_profile_name_here

❓ Raven (Risk Analysis and Vulnerability Enumeration for CI/CD) - инструмент для обеспечения безопасности, предназначенный для массового сканирования рабочих процессов CI в GitHub Actions. Сохраняет обнаруженные данные в базе данных Neo4j.

🔺Здесь можно ознакомиться с популярными репозиториями, в которых были обнаружены уязвимости с помощью Raven.

😮Возможности
Инструмент обладает тремя основными функциями: download, index и report.

1⃣Download - позволяет загрузить рабочие процессы и действия, необходимые для анализа. Рабочие процессы можно загрузить как для нескольких аккаунтов (пользователей/организаций) одновременно, так и для общедоступных репозиториев GitHub, отсортированных по количеству звёзд. Выполнение этого шага является обязательным условием для анализа рабочих процессов.

2⃣Index - преобразование загруженных данных в графовую базу данных Neo4j. Этот процесс включает в себя установление связей между рабочими процессами, действиями, заданиями, этапами и т. д.

3⃣Report - простой способ сообщать о подозрительных результатах. Например, данный процесс можно внедрить в процесс непрерывной интеграции для pull requests и запускать там.

🔺Установка
Raven использует два основных Docker-контейнера: Redis и Neo4j. Команда make setup запустит docker compose.

pip3 install raven-cycode
#OR
git clone https://github.com/CycodeLabs/raven.git
cd raven
make setup

👨‍💻Использование
Доступ ко всем рабочим процессам и действиям, связанным с учетной записью.

raven download account --token $GITHUB_TOKEN --account-name microsoft --account-name google --debug

Сканирование общедоступных репозиториев GitHub.

raven download crawl --token $GITHUB_TOKEN --min-stars 100 --max-stars 1000 --debug

После завершения процесса загрузки или в случае прерывания с помощью сочетания клавиш Ctrl+C необходимо приступать к индексированию всех рабочих процессов и действий в базе данных Neo4j.

raven index --debug

На данном этапе можно создать отчёт с помощью библиотеки запросов.

raven report --severity high --tag injection --tag unauthenticated

Cisco предупреждает: уязвимость SNMP в IOS может привести к RCE или DoS (CVE-2025-20352)

Cisco выпустила предупреждение о серьёзной уязвимости в подсистеме SNMP для IOS и IOS XE, которая уже эксплуатируется в реальной среде и может позволить удалённому атакующему выполнить произвольный код с привилегиями root или вызвать отказ в обслуживании (DoS).

❓ Что произошло
Исследователи и представитель Cisco обнаружили эксплуатацию уязвимости после того, как в одной из сетей были скомпрометированы локальные учётные записи администратора. Уязвимость связана с переполнением стека в обработке SNMP-запросов: специально сформированный пакет SNMP, отправленный по IPv4 или IPv6, может привести к DoS или к выполнению кода.
Технические детали
• Идентификатор уязвимости: CVE-2025-20352 (CVSS: 7.7).
• Корень проблемы: стек-overflow в реализации SNMP (всех поддерживаемых версий SNMP).

🕷️ Условия успешной эксплуатации
Для успешной эксплуатации необходимы конкретные привилегии/учётные данные:
• Чтобы вызвать DoS, атакующему нужны учетные данные SNMPv2c (или ранее) — например, строка сообщества read-only — либо действительные учётные данные SNMPv3.
• Чтобы выполнить произвольный код как root, атакующему требуется SNMPv1 или v2c read-only community и одновременно административные (privilege 15) или эквивалентные права на устройстве.

Это означает, что неавторизованный внешний атакующий без учётных данных не сможет использовать уязвимость напрямую; однако компрометация локальных административных учётных записей существенно повышает риск.

📝 Какие устройства затронуты
Cisco подчёркивает, что все устройства с включённым SNMP, у которых не исключён конкретный OID, считаются уязвимыми. Конкретно в уведомлении упомянуты также некоторые устройства Meraki (MS390) и Cisco Catalyst 9300, если они работают под Meraki CS 17 и ранее. Проблема исправлена в Cisco IOS XE Software Release 17.15.4a. (IOS XR и NX-OS не затронуты).

❗️ Рекомендации для администраторов
1. Проверьте, включён ли SNMP на ваших устройствах и кто имеет к нему доступ.
2. Ограничьте SNMP-доступ по IP-фильтрам и спискам управления доступом (ACL) — разрешайте только известным, доверенным хостам.
3. Поменяйте или отозвите старые SNMP community-строки и пересмотрите настройки SNMPv3 (используйте сильные учетные данные и шифрование).
4. Мониторьте логи и команду show snmp host для аномалий.
5. По возможности обновите уязвимые устройства до Cisco IOS XE 17.15.4a (или версии с исправлением) как можно скорее.

🚩 Новые задания на платформе HackerLab!

🎢 Категория Разное — Ну кам-он!

⚙️ Категория Реверс-инжиниринг — Я работаю в криптовалюте

Приятного хакинга!