ipapi.is: How to build a IP Geolocation Database from Scratch?
Интересный и довольно простой подход в сборе своей базы geoip:
собрали данные у региональных интернет-регистраторов, обогатили данные и получили продукт на выходе.

Сами базы geoip в открытом доступе и их можно скачать.

Пиджаки в облаках. AWS для ЦРУ.

AWS большой облачный провайдер, с множеством дата-центров, регионов, сервисов и множеством удобных вещей.
Но очевидно, что AWS это не только public cloud и free tier для VPN, но и множество вещей, скрытых от обычного пользователя.

Disclaimer
Данная статья не является “срывом покровов”, долгосрочным результатом работы кибер-разведки, или иной формой откровения. Это наглядный пример, что немалое количество информации можно получить просто почитав документацию и файлы конфигурации.
Это применимо не только к основному продукту, но и к сторонним инструментам.

Youtube решил довольно своеобразно бороться с блокировщиками рекламы.

Правда оно может не работать и с выключенным блокировщиком. ¯\_(ツ)_/¯

На r/uBlockOrigin нашли решение по обходу блокировки блокировщиков.

Небольшое исследование от Cloud Security Partners.

Около 5% процентов от их клиентов держат AWS RDS в публичном доступе. Да, процент довольно небольшой, но это отдельно взятый случай, фактически их куда больше.

Эта тенденция может не слишком распространена, но для многих пользователей о ней важно знать - особенно для тех, кто предъявляет строгие требования к соблюдению нормативных требований. Но в любом случае, суть статьи: держите вещи подальше от публичного Интернета, если они там не нужны. В большинстве случаев RDS это не требует.

RDS имеет несколько платформ баз данных (не только MySQL), которые могут выбирать пользователи, и среди них есть несколько различных поддерживаемых вариантов аутентификации, которые описаны в документации - Database authentication with Amazon RDS. Таким образом, угроза заключается не только в атаке с подбором пароля, но и в компрометации пользователя IAM или через компрометацию Kerberos. Ситуация с компрометацией учетных данных пользователя более вероятна.

Хотя URL-адрес экземпляра трудно угадать, его можно узнать просмотрев исходный код. Например, поиск us-west-1.rds.amazonaws.com в поиске кода на GitHub дает более 1.8k совпадений файлов и более 5k для us-west-2.rds.amazonaws.com. И при просмотре публичных (в частных наверняка тоже) репозиториев кода довольно часто встречаются строки подключения к базам данных.

Рекомендации:
- Проверяйте RDS на общедоступность

aws rds describe-db-instances --profile your-profile | jq -r ".DBInstances[] | select(.PubliclyAccessible == true)"

- По возможности развертывайте экземпляры RDS в том же VPC, что и серверы приложений.
- Если ресурсы невозможно развернуть в одном VPC, используйте пиринг VPC, чтобы обеспечить подключение к внутренней сети.

It's Alive!

Youtube-канал Androkavo ожил и после почти пяти лет молчания выпустил видео.
Если вы не понимаете, о чём я: Androkavo один из самых крутых каналов, посвященных пайке. Никакого бубнежа за кадром, только паяльник, припой, флюс и филигранная работа.
Если вы любите запах напалма припоя поутру, канал обязателен к просмотру.

Что такое матрица MITRE ATT&CK ? Обзор, основные сведения и сценарии применения

Хорошее обзорное видео MITRE ATT&CK. Немного истории, варианты применения и пара сценариев из опыта.

Вообще по MITRE ATT&CK материалов на русском не очень много, что довольно странно, так как штука полезная.

AWS Digital Sovereignty Pledge: Announcing a new, independent sovereign cloud in Europe

Небольшая новость от AWS. Они запускают "суверенное облако" в Европе. Деталей в новости нет, но вероятно это и есть AWS ISOE (про который я писал ранее). У AWS много точек присутсвия (8 регионов и 24 зоны доступности) и казалось бы, что ничего нового. Но судя по всему, расчет идёт на более требовательную публику, вроде здравоохранения, банков и правительства.

Забытый IoT как способ попасть в сеть.

IoT штука удобная. Включать свет, двигать шторы, перекрывать воду и многое другое можно делать с телефона. Красота.
Разумеется, заботливые производители привязывают свои железки к своим облачным сервисам, а неблагодарные пользователи не хотят и прошивают купленные на свои кровные устройства кастомными прошивками.
Но, разумеется, и это перекрывает не все проблемы.

При наличии физического доступа к устройству можно извлечь имя точки доступа и пароль.
Рассмотрим на примере проекта WLED на ESP8266.
Нам потребуются:
1. Сам ESP8266
2. Программатор USB-UART (в моём случае будет Flipper Zero)
3. 4 соединительных провода
4. макетная плата (опционально)
5. esptool и pyserial (не обязательно он, мне так удобней смотреть порт USB-UART)

Подключаемся:
1. Подпаиваемся или ставим на макетку наш ESP8266.
2. Подключаем USB-UART
3. Проверяем, что порт на месте
pyserial-ports -v
/dev/ttyACM0
desc: Flippername
hwid: USB VID:PID=0333:4542 SER=flip_flippername LOCATION=1-1:1.0
1 ports found

4. Переводим плату в режим прошивки. Для этого нажимаем и удерживаем кнопку FLASH, нажимаем кнопку RST и отпускаем. После перезагрузки диод гореть не должен.
5. Опрашиваем ESP для проверки корректности работы:
esptool --baud 115200 --chip esp8266 --port /dev/ttyACM0 chip_id
Если всё сделано верно, мы получим информацию о плате.

6. Дампим прошивку:
esptool --baud 115200 --port /dev/ttyACM0 read_flash 0x00000 0x400000 flash2_4M.bin

6. По окончанию загрузки нам потребуется просто посмотреть строки в файле:
strings flash2_4M.bin| grep "psk"
strings flash2_4M.bin| grep "ssid"

И мы получаем имя точки доступа и пароль.

Да, я не могу назвать это каким-то сложным и полезным ресёрчем, но это показывает, что умные реле, лампочки и прочий IoT хранит пароли в открытом виде.
Для полноты картины надо будет проверить на других устройствах с родными прошивками, но тут уж как получится.

И не забывайте, s in IoT stands for security.

Хорошие новости подвезли.

У sshfs появился мейнтейнер и проект больше не orphaned.

Пока что обновился readme и начались хоть какие-то именения в коде.

Пока что радоваться особо нечему, но новость даёт надежды на продолжение жизни проекта.

Для тех, кто пропустил:
Предыдущий мейнтейнер Nikolaus Rath по каким-то своим причинам оставил проект в 2022, после чего проект оставался в "осиротевшем" состоянии.

А тут Scapy в браузере появился.

Есть ограничения:
- не работают функции ввода/вывода (send, sr, sniff и т.д.).
- Все, что использует внешние пакеты (matplotlib, pyx и прочее) не поддерживается.

На днях появился целый Offensive ML Framework.

Автор собирает различные TTP на основе разных ML-инструментов.

На текущий момент данный фреймворк больше похож на подборку ссылок, но автор заявляет, что работы ведутся.

Пока выглядит не очень полезно, но продолжаем наблюдение.

В последние дни со Stepik начался какой-то исход курсов, где были задачи с терминалом Linux.
Формулировка автров курсов примерно следующая:
C 31 октября 2023 года Stepik не поддерживает задачи со встроенным терминалом Linux, так как они редко используются и требуют значительных ресурсов на поддержку.

Задания удалят, баллы пересчитают.

Задачи с терминалом на Stepik были не без проблем (регулярные тормоза как пример), однако новости от платформы я не нашёл.

Держу в курсе.

Кто-то собирает хоум-лабы чтобы строить инфраструктуру, кто-то строит хоум-лабы чтобы строить и ломать инфраструктуру, а кто-то собирает лабу для хакинга железок.

Основное оборудование:
- защита от статики
- паяльник/паяльная станция
- мультиметр
- микроскоп
- осцилограф
- анализатор логики
- блоки питания
- анализаторы частт
- и различные JTAG, UART, флэш ридеры, провода и различная мелочёвка.

В силу того, что большая часть ссылок ведет на amazon, закупаться необходимым чуть сложнее, но статью можно использовать как референсный список, что может пригодиться.

Ребятам из различных Red Team не чужд IaC и иногда попадают довольно интересные проекты.

WolfPack - проект, использующий Terraform и Packer для развертывания редиректоров Apache, которые имитируют подлинные веб-сайты.

Из клауд-провайдеров поддерживается только AWS.

Выглядит интересно, но проект ещё в разработке, так что могут возникать ошибки.

Документация проекта.

Obfuscating C2 During a Red Team Engagement

Статья от Jumpsec Labs, на примерах раскрывающая что такое Redirectors в контексте C2 и Red Team.

Тема довольно интересная, но редко освещаемая.

Detecting and annoying Burp users. (web.archive.com)

Занятная статья из 2021 года.

Пользователи Burp Suite в ходе работы могут себя обнаружить, причём не только на каких-то сложных вещах, будь то JA3, но и на банальном user-agent.

Похожая проблема была описана в рамках CTF другим автором.

Но детектом дело не ограничивается, довольно тривиально ловится Intruder и ограничивается активное сканирование.

А "cheese separated values", ломающий краулинг это вообще нечто шедевральное:

<a href="🧀">one</a>
<a href="2.html">

Сложно сказать об актуальности статьи на данный момент, но наблюдать на вечной борьбой меча и щита всегда интересно.

Blue2thprinting (blue-[tooth)-printing]: answering the question of 'WTF am I even looking at?!

Dark Mentor LLC настолько преисполнились в изучении Bluetooth, что решили добавить одонтологию в изучение синезубых устройств.
Как всегда, всё довольно увлекательно, так как в мире Bluetooth всё устроено довольно своеобразно.

Слайды:
Blue2thprinting_Hardweario2023_Slides_With_Builds

Видео с доклада ещё нет, но ждем на канале hardwear.io.

Keylogger keyboard leaks passwords via Apple's "Find My" location network.

"Find My" от Apple может помочь не только найти потерянное устройство, но пароли.
Каким образом?
С кейлогера на ESP32 в клавиатуре.

Фабиан Браунляйн из Positive Security интегрировал кейлогер с Bluetooth на ESP32 в USB-клавиатуру, чтобы показать запись вводимых паролей и их последующую передачу по Bluetooth. Используя такое устройство, злоумышленники могут незаметно, в обход всех мер безопасности в локальной сети, подсматривать пароли и пересылать их себе через iPhone и другие устройства Apple, находящиеся поблизости.

Браунляйн обнаружил и раскритиковал тот факт, что "Find My" обладает определенным потенциалом для злоупотреблений, еще весной 2021 года. Проблема существует и сейчас, спустя почти три года, что доказывает недавний эксперимент, в ходе которого Браунляйн встроил кейлоггер в USB-клавиатуру. Все, что набирается на клавиатуре, передается через сеть Apple "Find My" на компьютер злоумышленника, который может находиться в любой точке мира.

Статья в heise.de: Keylogger keyboard leaks passwords via Apple's "Find My" location network
Чуть более подробная статья там же: c't deckt auf: Keylogger nutzt Apples Ortungsnetz "Wo ist?" (paywall)

Тот самый PoC из 2021: github.com/positive-security/send-my

Видео с объяснением и демонстрацией: We hacked Apple's "Find My" network!

Hacking Some More Secure USB Flash Drives

Защищенные USB-флешки выглядят интересно, вендоры завлекают аппаратным шифрованием AES 256-bit, неизвлекаемостью данных и прочей супернадёжной секурностью. Но практика показывает, что такая защита работает от случайных людей, и фактически защита не так надёжна, как вещают маркетологи.

В руки SySS попались два устройства от Vibratim: Verbatim Keypad Secure и Verbatim Executive Fingerprint Secure SSD.
Оба накопителя по сути являются внешним кейсом для M.2 SSD с дополнительной обвязкой вроде контроллеров и пинпадов\сканера отпечатков.

Hacking Some More Secure USB Flash Drives (Part I)
Первым на препарирование попал Verbatim Keypad Secure.
Вендором заявлено, что что перебор пароля не возможен, на ввод пароля даётся 20 попыток, после чего накопитель переинициализируется, однако оказалось, что фактически эта защита не работает. Анализ прошивки показал, что данные всё же извлекаются, данные для для аутентификации пользователя хранится в специальном блоке на SSD, а длинна пароля от 5 до 12 цифр сильно упрощает дело.

Попутно найденные проблемы получили CVE:
CVE-2022-28384
CVE-2022-28382
CVE-2022-28383
CVE-2022-28386

PoC: Hacking a Secure USB Flash Drive // Unauthorized Access to Verbatim Keypad Secure (CVE-2022-28384)

Hacking Some More Secure USB Flash Drives (Part II)

Вторым препариловался Verbatim Executive Fingerprint Secure SSD.
В данном случае всё было ещё интересней, Executive Fingerprint Secure SSD эмулирует CD-привод с клиентским ПО, хоть всё взаимодействие зашифровано AES, ключ шифрования захардкожен.

Попутно найденные проблемы получили CVE:
CVE-2022-28387
CVE-2022-28382
CVE-2022-28383
CVE-2022-28385

PoC: Hacking Yet Another Secure USB Flash Drive // Verbatim Executive Fingerprint Secure (CVE-2022-28387)

Готовых тулов не положили, но в целом это наглядное напоминание, что нельзя в съемных носителях надеяться только на аппаратное шифрование.

ANSI Terminal security in 2023 and finding 10 CVEs.

Крутое исследование от Дэвида Лидбейта по поиску уязвимостей в эмуляторах терминалов с акцентом на ПО с открытым кодом. В результате было обнаружено 10 CVE для эмуляторов терминалов, которые могут привести к удаленному выполнению кода (Remote Code Execution, RCE), а также различные другие ошибки.

Менее техническое описание можно почитать здесь:
The Terminal Escapes: Engineering unexpected execution from command line interfaces

Найденные CVE в различных эмуляторах терминала:
- CVE-2022-45872 - iTerm2 DECRQSS
- CVE-2022-44702 - Windows Terminal + WSL working directory
- CVE-2022-47583 - mintty DECRQSS
- CVE-2022-45063 - xterm OSC 50
- CVE-2022-46387 - ConEmu Title
- CVE-2023-39150 - ConEmu Title Take 2
- CVE-2022-4170 - rxvt-unicode background
- CVE-2022-23465 - SwiftTerm DECRQSS
- CVE-2022-46663 - less OSC 8
- CVE-2023-39726 - mintty OSC 50
- CVE-2023-40359 - xterm ReGIS
- CVE-2023-40216 - OpenBSD wscons parameter overflow

Your printer is not your printer! Райтапы от Devcore с Pwn2Own в двух частях.

За последние несколько лет принтер стал одним из основных устройств в корпоративной интрасети, и его функциональные возможности также значительно расширились. Для удобства использования поддерживаются не только печать или отправка факсов, но и облачные сервисы печати, например AirPrint. Прямая печать с мобильных устройств стала основным требованием в эпоху IoT. Их также используют его для печати внутренних деловых компании, что делает обеспечение безопасности принтеров еще более важным занятием.

Но чем сложней и умней становятся принтеры и МФУ, тем большую проблему они могут и создать.

В прицел исследователей попали довольно популярные аппараты:
- HP Color LaserJet Pro M479fdw
- Lexmark MC3224i
- Canon imageCLASS MF743Cdw

В 2021 году ребята обнаружили RCE (CVE-2022-24673 и CVE-2022-3942) в принтерах Canon и HP, а также уязвимость (CVE-2021-44734) в Lexmark. Они использовали эти уязвимости для эксплуатации Canon ImageCLASS MF644Cdw, HP Color LaserJet Pro MFP M283fdw и Lexmark MC3224i на Pwn2Own Austin 2021.

Статьи в их блоге:
- Your printer is not your printer! - Hacking Printers at Pwn2Own Part I
- Your printer is not your printer! - Hacking Printers at Pwn2Own Part II