Detecting and annoying Burp users. (web.archive.com)

Занятная статья из 2021 года.

Пользователи Burp Suite в ходе работы могут себя обнаружить, причём не только на каких-то сложных вещах, будь то JA3, но и на банальном user-agent.

Похожая проблема была описана в рамках CTF другим автором.

Но детектом дело не ограничивается, довольно тривиально ловится Intruder и ограничивается активное сканирование.

А "cheese separated values", ломающий краулинг это вообще нечто шедевральное:

<a href="🧀">one</a>
<a href="2.html">

Сложно сказать об актуальности статьи на данный момент, но наблюдать на вечной борьбой меча и щита всегда интересно.

Blue2thprinting (blue-[tooth)-printing]: answering the question of 'WTF am I even looking at?!

Dark Mentor LLC настолько преисполнились в изучении Bluetooth, что решили добавить одонтологию в изучение синезубых устройств.
Как всегда, всё довольно увлекательно, так как в мире Bluetooth всё устроено довольно своеобразно.

Слайды:
Blue2thprinting_Hardweario2023_Slides_With_Builds

Видео с доклада ещё нет, но ждем на канале hardwear.io.

Keylogger keyboard leaks passwords via Apple's "Find My" location network.

"Find My" от Apple может помочь не только найти потерянное устройство, но пароли.
Каким образом?
С кейлогера на ESP32 в клавиатуре.

Фабиан Браунляйн из Positive Security интегрировал кейлогер с Bluetooth на ESP32 в USB-клавиатуру, чтобы показать запись вводимых паролей и их последующую передачу по Bluetooth. Используя такое устройство, злоумышленники могут незаметно, в обход всех мер безопасности в локальной сети, подсматривать пароли и пересылать их себе через iPhone и другие устройства Apple, находящиеся поблизости.

Браунляйн обнаружил и раскритиковал тот факт, что "Find My" обладает определенным потенциалом для злоупотреблений, еще весной 2021 года. Проблема существует и сейчас, спустя почти три года, что доказывает недавний эксперимент, в ходе которого Браунляйн встроил кейлоггер в USB-клавиатуру. Все, что набирается на клавиатуре, передается через сеть Apple "Find My" на компьютер злоумышленника, который может находиться в любой точке мира.

Статья в heise.de: Keylogger keyboard leaks passwords via Apple's "Find My" location network
Чуть более подробная статья там же: c't deckt auf: Keylogger nutzt Apples Ortungsnetz "Wo ist?" (paywall)

Тот самый PoC из 2021: github.com/positive-security/send-my

Видео с объяснением и демонстрацией: We hacked Apple's "Find My" network!

Hacking Some More Secure USB Flash Drives

Защищенные USB-флешки выглядят интересно, вендоры завлекают аппаратным шифрованием AES 256-bit, неизвлекаемостью данных и прочей супернадёжной секурностью. Но практика показывает, что такая защита работает от случайных людей, и фактически защита не так надёжна, как вещают маркетологи.

В руки SySS попались два устройства от Vibratim: Verbatim Keypad Secure и Verbatim Executive Fingerprint Secure SSD.
Оба накопителя по сути являются внешним кейсом для M.2 SSD с дополнительной обвязкой вроде контроллеров и пинпадов\сканера отпечатков.

Hacking Some More Secure USB Flash Drives (Part I)
Первым на препарирование попал Verbatim Keypad Secure.
Вендором заявлено, что что перебор пароля не возможен, на ввод пароля даётся 20 попыток, после чего накопитель переинициализируется, однако оказалось, что фактически эта защита не работает. Анализ прошивки показал, что данные всё же извлекаются, данные для для аутентификации пользователя хранится в специальном блоке на SSD, а длинна пароля от 5 до 12 цифр сильно упрощает дело.

Попутно найденные проблемы получили CVE:
CVE-2022-28384
CVE-2022-28382
CVE-2022-28383
CVE-2022-28386

PoC: Hacking a Secure USB Flash Drive // Unauthorized Access to Verbatim Keypad Secure (CVE-2022-28384)

Hacking Some More Secure USB Flash Drives (Part II)

Вторым препариловался Verbatim Executive Fingerprint Secure SSD.
В данном случае всё было ещё интересней, Executive Fingerprint Secure SSD эмулирует CD-привод с клиентским ПО, хоть всё взаимодействие зашифровано AES, ключ шифрования захардкожен.

Попутно найденные проблемы получили CVE:
CVE-2022-28387
CVE-2022-28382
CVE-2022-28383
CVE-2022-28385

PoC: Hacking Yet Another Secure USB Flash Drive // Verbatim Executive Fingerprint Secure (CVE-2022-28387)

Готовых тулов не положили, но в целом это наглядное напоминание, что нельзя в съемных носителях надеяться только на аппаратное шифрование.

ANSI Terminal security in 2023 and finding 10 CVEs.

Крутое исследование от Дэвида Лидбейта по поиску уязвимостей в эмуляторах терминалов с акцентом на ПО с открытым кодом. В результате было обнаружено 10 CVE для эмуляторов терминалов, которые могут привести к удаленному выполнению кода (Remote Code Execution, RCE), а также различные другие ошибки.

Менее техническое описание можно почитать здесь:
The Terminal Escapes: Engineering unexpected execution from command line interfaces

Найденные CVE в различных эмуляторах терминала:
- CVE-2022-45872 - iTerm2 DECRQSS
- CVE-2022-44702 - Windows Terminal + WSL working directory
- CVE-2022-47583 - mintty DECRQSS
- CVE-2022-45063 - xterm OSC 50
- CVE-2022-46387 - ConEmu Title
- CVE-2023-39150 - ConEmu Title Take 2
- CVE-2022-4170 - rxvt-unicode background
- CVE-2022-23465 - SwiftTerm DECRQSS
- CVE-2022-46663 - less OSC 8
- CVE-2023-39726 - mintty OSC 50
- CVE-2023-40359 - xterm ReGIS
- CVE-2023-40216 - OpenBSD wscons parameter overflow

Your printer is not your printer! Райтапы от Devcore с Pwn2Own в двух частях.

За последние несколько лет принтер стал одним из основных устройств в корпоративной интрасети, и его функциональные возможности также значительно расширились. Для удобства использования поддерживаются не только печать или отправка факсов, но и облачные сервисы печати, например AirPrint. Прямая печать с мобильных устройств стала основным требованием в эпоху IoT. Их также используют его для печати внутренних деловых компании, что делает обеспечение безопасности принтеров еще более важным занятием.

Но чем сложней и умней становятся принтеры и МФУ, тем большую проблему они могут и создать.

В прицел исследователей попали довольно популярные аппараты:
- HP Color LaserJet Pro M479fdw
- Lexmark MC3224i
- Canon imageCLASS MF743Cdw

В 2021 году ребята обнаружили RCE (CVE-2022-24673 и CVE-2022-3942) в принтерах Canon и HP, а также уязвимость (CVE-2021-44734) в Lexmark. Они использовали эти уязвимости для эксплуатации Canon ImageCLASS MF644Cdw, HP Color LaserJet Pro MFP M283fdw и Lexmark MC3224i на Pwn2Own Austin 2021.

Статьи в их блоге:
- Your printer is not your printer! - Hacking Printers at Pwn2Own Part I
- Your printer is not your printer! - Hacking Printers at Pwn2Own Part II

Oh-Auth - Abusing OAuth to take over millions of accounts

Если следили за новостями в этом году, то были сообщения о том, что находили уязвимости аутентификации в Booking (Traveling with OAuth - Account Takeover on Booking.com), Vidio.com, Grammarly и куче других сервисов.

Исследователи из компании Salt Security выпустили большую статью о том, как эту уязвимость обнаружили, и как оно устроено и работает.

Изначально проблема была обнаружена ещё в феврале этого года, и в ряде случаев исправлено. Однако, закрыта ли уязвимость целиком вопрос открытый.

Cracking the final frontier: Reverse engineering and exploiting LEO satellites.

Взлом спутников уже давно далеко ушёл от спутниковой рыбалки и радиохулиганов на SATCOM. За условные 20 лет мир спутников изменился, от кастомных сложных решений мы пришли к простым спутникам на привычные многим решения на AVR, а связь со спутниками это не только UHF, но и свои протоколы вроде Cubesat Space Protocol, стэка CCSDS и так далее.
Но не смотря на рост числа различных низкоорбитальных спутников, с безопасностью там множество проблем. Возможно, считается что спутник сложная цель для взлома, но как показывает практика, человек с ноутбуком, SDR и прямыми руками достаточно просто эту цель достанет.

P.S. Так же на 1 марта 2024 года запланирован воркшоп SpaceSec 2024. Будут ли записи докладов не известно, но если тема интересна, советую данное мероприятие отслеживать\посетить (вдруг вы в Сан Диего или собираетесь туда).

Living Like It's 99: No Social Media, No Smartphone

Как отказаться от смартфона, удалить аккаунты в соц. сетях и обрести душевное спокойствие.

Грегори Альварез, автор статьи, решил провести эксперимент, который затянулся на годы. Начальной причиной отказа от социальных сетей и смартфона стала проблема с приватностью, и продолжилось отказом от дешёвого дофамина и боязни пропустить интересное.

Похожий эксперимент по отказу от смартфона проводил Мэтт Д'Авелла (видео на канале Мэтта, переведённое видео от Kramarty TV), но в его случае это был тридцатидневный эксперимент, который нельзя назвать бесполезным.

Разумеется, Грегори отказался не от всех девайсов:
- Garmin Fenix 5 Plus для музыки и навигации
- GoPro Hero5 Session для фото и видео
- Aeku M5 в роли простой звонилки

Без мессенджеров автор тоже не остался, и использует десктопную версию Signal.

Вне поля зрения статьи остался компьютер, но сложно быть специалистом по безопасности без компьютера.

В какой-то мере это похоже на модный "цифровой детокс", но вопрос действительно довольно насущный. И это история не столько про успешный успех или эффективную эффективность, сколько про то, что тревожный примат стал ещё более тревожным, уткнувшись в телефон листая соц. сети и бесконечные видео, которые просто поедают наше время, давая в замен только разочарования и кислое послевкусие.

Статья в блоге автора:
Living Like It's 99: No Social Media, No Smartphone
Статья в pdf:
Living Like It's 99: No Social Media, No Smartphone.pdf

Reversing ESP8266 Firmware

Интересный цикл статей по реверсу прошивки платы на ESP8266.
Реверс сам по себе не самое простое занятие, а реверс хоть и популярного, но несколько нестандартного для таких целей устройства с не самой привычной архитектурой процессора только добавляет сложности.

Оглавление:
- Part 1:
- Introduction
- Part 2:
- Initial analysis
- Questions we need to answer
- Part 3:
- What is it?
- Understanding the firmware format
- Understanding the boot process
- Understanding the physical memory layout
- Part 4:
- Writing an IDA loader
- Performing library recognition
- Fixing IDB2PAT
- Generating our pattern file
- Part 5:
- Recognising VTABLE’s
- Finding the port knock sequence
- Understanding the Xtensa instruction set
- Understanding the Xtensa calling convention
- Part 6:
- Reversing the loop function
- Getting the secrets!
- Conclusion
- References
- Tools
- Feedback

Статья будет интересна не только лишь всем, но основательность подхода может впечатлить даже людей далёких от IoT.

Guarding Your Domain: The No-Cost Approach with Free and Open Source Software

Мониторить свои домены и поддомены штука нужная и полезная. Если у вас инфраструктура не очень большая, или же IaC, то проводить инвентаризацию не сложно. Но если всё сделано по старинке, то лучше это привести к нормальному виду.
Случается, что могли что-то забыть, и поддомен или даже домен уже занят машиной, которая вам не пренадлежит.

В целом, такая защита домена немного похожа на обычную разведку. Собираем вероятные домены, проверяем поддомены и всё с использованием знакомого инструментария:
- gospider
- amass
- crt.sh

Однако есть и разница - поиск схожих доменных имён.
Для поиска схожих имен можно использовать сервис - https://dnstwist.it/ (есть cli-утилита).
Так же можно использовать phishing_catcher

В целом, держите dns-записи в порядке и используйте IaaC если инфраструктура большая.

A Big Look at OpenAPI Security

Пост рассматривает какие возможности безопасности дает нам OpenAPI, что на самом деле делают большие и малые компании и что вам следует делать, когда вы создаете свой собственный API.

Вроде есть стандарты и спецификации, но по факту нередко при разработке одни и те же вещи реализованы по разному.

TL;DR Используйте OAuth2 и apiKey.

Хотите физическую копию архива VX-Undeground?

Что входит в комплект?
- Внешний жесткий диск Seagate емкостью 10 ТБ
- 37 745 документов и образцов APT
- 7 147 архивных материалов (документы, старое ПО, сборки вредоносных программ)
- 11 460 документов по вредоносному ПО
- 36 000 000+ образцов вредоносного ПО (5,06 ТБ)
- 3 197 файлов с исходным кодом вредоносных программ
- Рукописное благодарственное письмо

Цена этого великолепия $500.00
Работает ли международная доставка в Россию не известно.

OWASP Топ 10 – 2021 на русском? Почему бы и нет.

Переведёно не только общее описание, но и все категории, с описанием, примерами и способами противодействия.

- A01:2021 - Нарушение контроля доступа
- A02:2021 - Сбои в криптографии
- A03:2021 - Внедрение кода
- A04:2021 - Небезопасный дизайн
- A05:2021 - Неправильная конфигурация
- A06:2021 - Уязвимые и устаревшие компоненты
- A07:2021 - Ошибки идентификации и аутентификации
- A08:2021 - Нарушение целостности данных и программного обеспечения
- A09:2021 - Журнал безопасности и сбои мониторинга
- A10:2021 - Подделка запросов со стороны сервера (SSRF)

Но если перевод делает глазам больно, всегда можно почитать OWASP Top 10 на английском.

Часть ИБ-каналов в Telegram активно обсуждает взлом игрушек для взрослых с помощью Flipper Zero.

Но сама история началась несколько раньше.
Новости про взлом жопы начался ещё полгода назад (reddit, twitter), а одна из реализаций была написана почти год назад.

Сама идея недокументрованного использования не просто не нова, а крайне популярна. Есть целая библиотека - buttplug, реализована в Rust, Haskell, Python и куче других языков. А так же есть поддержка игровых движков вроде Unity, Godot и RPG Maker.

Есть поддержка игр (в том числе и VR) и игровых модификаций (например для Stardew Valley, ULTRAKILL и Skyrim и STALKER: Anomaly).

Так же это не первый случай удалённого взлома секс игрушек, про нечто аналогичное я писал ещё в 2018 году: про проект internetofdon.gs и управление дилдо через Tor (сама новость от 7 августа 2017).

Оказывается, Snyk это не только разные security-инструменты, но и небольшие бесплатные мини-уроки по безопасности.

Есть небольшие интерактивные примеры и примеры уязвимого кода на разных языках.

Github уже давно стал своеобразной социальной сетью для разработчиков. Добавив однажды возможность добавить README в репозиторий username/username, они открыли Ящик Пандоры, и разработчики денно и нощно пилят всякие штуки, добавляют ссылки, языки, технологии ссылки на иные соц. сети и множество других вещей. В целом, не могу сказать, что это плохо, так как Github это вполне себе резюме или его часть.

Можно такой README сделать и самому, а можно воспользоваться генератором: github-profile-readme-generator.

Можно развернуть самому (но там npm), или использовать уже развернутый на Github Pages генератор.

Указываем нужную инфу, выбираем навыки и получаем на выходе Markdown файл с разметкой, который и будет нашим README.md.

Ещё немного украшательств для Github, но уже чуть более полезных - shields.io.

Есть статические (например, с произвольным текстом, или как ссылка на Discord/Slack), так и динамические (отображать метрики, статус билда).

Добавляются в readme репозитория в удобном формате (например Markdown или html).

Так же можно развернуть и свой сервер из исходников или в Docker.

Репозиторий проекта:
github.com/badges/shields

Shield на Dockerhub:
registry.hub.docker.com/r/shieldsio/shields/

In a first, cryptographic keys protecting SSH connections stolen in new attack.

В ходе новой атаки похищены криптографические ключи, защищающие SSH-соединения.
Для раскрытия закрытого ключа достаточно всего лишь одной ошибки в виде перевернутого бита памяти.

Исследователи продемонстрировали, что значительная часть криптографических ключей, используемых для защиты данных в SSH-трафике между компьютерами и серверами, уязвима для полной компрометации при возникновении естественных вычислительных ошибок в процессе установления соединения.

Подчеркивая важность своего открытия, исследователи использовали полученные данные для вычисления приватной части почти 200 уникальных SSH-ключей, которые они наблюдали в ходе публичного сканирования Интернета, проведенного за последние семь лет. По мнению исследователей, такая же участь может постигнуть и ключи, используемые в соединениях IPsec. SSH - это криптографический протокол, используемый в защищенных shell-соединениях, позволяющих компьютерам получать удаленный доступ к серверам, обычно в чувствительных к безопасности корпоративных средах. IPsec - протокол, используемый в виртуальных частных сетях, которые направляют трафик по зашифрованному туннелю.

В электронном письме Райан Киган написал:

Несмотря на то, что протокол SSH существует уже почти 18 лет и чрезвычайно широко распространен, мы все еще находим новые способы использования ошибок в криптографических протоколах и выявления уязвимых реализаций. По нашим данным, примерно одна из миллиона подписей SSH раскрывает закрытый ключ хоста SSH. Хотя это случается редко, огромный объем трафика в Интернете означает, что эти ошибки RSA в SSH происходят регулярно. Несмотря на то, что подавляющее большинство SSH-соединений не затронуто, по-прежнему важно защититься от этих сбоев. В незащищенной реализации достаточно одной плохой подписи, чтобы раскрыть ключ.
К счастью, самые популярные реализации SSH включают контрмеры, предотвращающие возникновение ошибок подписи RSA, приводящих к катастрофической утечке ключей, но реализации, которые этого не сделали, все еще были достаточно распространены, чтобы появиться в наших данных.

Поводов для паники нет, но будьте бдительны.

Whitepaper (pdf): Passive SSH Key Compromise via Lattices

Обработка ошибок в shell порой делает потрясающие вещи. Например, мотивирует некоторых писать свои языки и\или шелл, применимые в DevOps.

Не могу сказать, что конструкция if grep мне сильно досаждала, но в целом в Bash могут встретится своеобразные проблемы.


Немного о самом NGS: https://ngs-lang.org/
NGS использует подмножество синтаксиса bash для запуска внешних программ и предоставляет дополнительные возможности для эргономики: обработку кодов выхода, анализ вывода и т. д.

Github: github.com/ngs-lang/ngs/

Сложно сказать, потащил бы я это в прод, но вещь интересная.

Happy coding, hopefully not in bash, you know, for your mental health.

FBI shares tactics of notorious Scattered Spider hacker collective.

FBI и CISA опубликовали информацию о Scattered Spider.
Да, новость в русскоязычном сегменте уже была: участники до 20 лет, использование социальной инженерии и фишинг, Telegram-каналы и связи с 1337 Evil Russian Hackers.

Но больший интерес представляет набор инструментов, который чем-то особенным не выделяется.

Для разведки и бокового перемещения Scattered Spider использует ряд общедоступных программных средств:
- Fleetdeck.io : удаленный мониторинг и управление.
- Level.io : удаленный мониторинг и управление.
- Mimikatz : извлечение учетных данных
- Ngrok : удаленный доступ к веб-серверу через интернет-туннелирование.
- Pulseway : удаленный мониторинг и управление системой
- Screenconnect : управление удаленным подключением сетевых устройств.
- Splashtop : управление удаленным подключением сетевых устройств.
- Tactical.RMM : Удаленный мониторинг и управление системой.
- Tailscale : VPN для безопасной сетевой связи.
- Teamviewer : управление удаленным подключением сетевых устройств

Используемая малварь:
- AveMaria (WarZone): Обеспечивает удаленный доступ к системам жертвы.
- Raccoon Stealer: Кража информации, включая учетные данные для входа в систему, историю браузера, файлы cookie и другие данные.
- VIDAR Stealer: Похищает информацию, включая учетные данные для входа в систему, историю браузера, cookies и другие данные.

И снова мы получаем наглядный пример, что устроить успешную атаку на крупные компании (вроде Okta, MGM Resorts, Caesars Entertainment) не требует сложных техник или инструментов.

MITRE ATT&CK: Scattered Spider

Отчёт CISA (pdf): Scattered Spider

Статья на Bleeping Computer: FBI shares tactics of notorious Scattered Spider hacker collective