Cursed - Kali Ashes

Genre: Offensive
Subgenre: Hardening, Penetration Testing, Evasion, Sniffing
Label: xakep.ru
Release Date: 2 February 2024

Link: xakep.ru/2024/02/02/kali-hardening

A recently disclosed SSRF vulnerability (CVE-2024-21893) in Ivanti Connect Secure and Policy Secure products is now under mass exploitation.

Learn more: https://thehackernews.com/2024/02/recently-disclosed-ssrf-flaw-in-ivanti.html

Patch now to protect your organization from system takeover.

https://github.com/akto-api-security/akto

1. Ставим расширение для Burp, чтобы собрать все запросы в Akto, ходим по сайту.
2. Выбираем нужные проверки на поиск IDOR, Parameter Pollution, SQLi и других багов.
3. Выгружаем готовые отчеты c находками. Сдаем на H1, получаем профит.

Интересный опенсорсный сканер, который вместо вас вставляет кавычки в запросы к API и ищет многие уязвимости, включая OWASP Top 10 и HackerOne Top 10.

Можно описывать свои тесты в YAML, есть уже готовые модули для эксплуатации. Например, просканить все порты с помощью SSRF, как в демке https://www.youtube.com/watch?v=WjNNh6asAD0

​⚡️Я твой рот ломал: 3 млн. зубных щеток использовались в DDoS-атаке

💬 В последнее время реальность всё чаще напоминает сюжеты научной фантастики. Недавний инцидент с хакерской атакой, использовавшей в качестве инструмента умные зубные щётки, это подтверждает. Швейцарская газета Aargauer Zeitung сообщает о том, что около 3 миллионов щеток были взломаны и использованы для осуществления DDoS-атаки, в результате которой системы неназванной швейцарской компании были выведены из строя на 4 часа. Ущерб оценивается в миллионы евро.

На первый взглад безобидные предметы личной гигиены превратились в «солдат» киберармии, успешно атаковав целевой сайт путём перегрузки его ложными запросами. Отмечается, что зубные щётки были заражены через программное обеспечение на Java — популярном языке для IoT-устройств.

Случай подчёркивает растущую угрозу кибербезопасности в связи с увеличением количества подключаемых к интернету устройств в нашем повседневном использовании. Устройства, которые ранее казались безопасными и не подключенными к цифровому миру, теперь могут стать потенциальными точками входа для киберпреступников.

В условиях роста количества IoT-устройств в быту, важно обращать внимание на их безопасность. Многие из них не обладают достаточной защитой из-за отсутствия возможности настройки или обновления безопасности. Эксперты советуют регулярно обновлять ПО всех подключенных устройств, избегать использования публичных USB-портов для зарядки, быть осторожными с публичными Wi-Fi сетями и устанавливать файервол на домашнее интернет-соединение.

Также поднимается вопрос о необходимости приобретения IoT-устройств. Рекомендуется придерживаться правила: не покупать умное устройство без насущной потребности в нём. Такая тактика поможет не только обезопасить личные данные, но и снизить риски кибератак. В эпоху, когда технологии всё теснее входят в нашу жизнь, важно уделять внимание не только личной гигиене, но и цифровой безопасности.

В 2023 году группа исследователей из Бристольского университета обнаружила уязвимости в ошейниках со встроенными датчиками, которые ставят под угрозу не только эффективность доильных залов, но даже здоровье и жизнь животных. В результате ошибки могут привести к неверной диагностике со стороны ветеринаров и ошибочным действиям фермеров при выращивании, разведении и лечении скота, что грозит финансовыми потерями и даже гибелью животных.

Напомним, что недавно компания Cado Security обнаружила в киберпространстве новую вариацию ботнета P2PInfect, которая разработана специально для архитектуры MIPS, что даёт ей возможность атаковать роутеры и IoT-устройства, такие как умные чайники, кофеварки, IP-камеры и т.п. Это резко расширяет возможности и сферу воздействия ботнета.

🔔 ITsec NEWS

было подобное про вацап недавно

Новая атака на цепочку поставок: Java и Android под ударом!

Буквально на днях компания Oversecured выпустила потрясающую статью про новую атаку на цепочку поставок. В этот раз под ударом оказались Java-пакеты и, конечно, под раздачу попал и Android...

Способ атаки крайне прост и изящен. Для того, чтобы загрузить новую версию или измененную старую в репозиторий, например, MavenCentral необходимо подтвердить, что ты это ты. Как это сделать? Перевернуть имя пакета и на указанном домене разместить dns-запись.

К примеру, пакет com.stingray.mobile превращается в домен mobile.stingray.com. И, добавив несколько полей в TXT-запись мы получаем верифицированный аккаунт, который может загружать новые и обновлять существующие версии.

Но как правило, при смене имени пакета случается так, что про старый домен забывают.. Или вообще домен уже давно разделегирован.

Суть атаки в покупке домена, регистрации себя, как собственника библиотеки и заливанию новой/обновленной версии с зловредной нагрузкой в репозиторий. Вуаля, и все проекты использующие эту зависимость или выкачивающие ее как транзитивную получают к себе бомбу замедленного действия...

Идеальный план и более того, ребята провели исследование всех библиотек в нескольких репозиториях и получили крайне интересные цифры по уязвимым либам:
1. По доменам: 3,710 or 14.18%
2. На основании приватных github-репо: 291 or 3.86%

Крайне интересные цифры.

Снимаю шляпу перед исследователями такого уровня :)

Я думаю, что скоро нас ждет интересное продолжение :)

#oversecured #supplychain #android

Топ CVE за январь 2024

https://habr.com/ru/companies/tomhunter/articles/789306/

#exploit
1. CVE-2024-20328:
ClamAV Command Injection Bug
https://amitschendel.github.io/vulnerabilites/CVE-2024-20328

2. CVE-2024-24816:
CKEditor XSS vulnerability
https://github.com/afine-com/CVE-2024-24816

3. CVE-2023-35080:
Ivanti/Pulse VPN Client Exploit
https://github.com/HopHouse/Ivanti-Pulse_VPN-Client_Exploit-CVE-2023-35080_Privilege-escalation

#exploit
1. Docker Remote API Scanner and Exploit
https://github.com/justakazh/DockerExploit

2. PoC of BITB w/out the use of iframes
https://github.com/waelmas/frameless-bitb

3. CVE-2023-44313:
Apache ServiceComb <2.1 - SSRF
https://xz.aliyun.com/t/13548

Канада запрещает Flipper Zero ради борьбы с автоугонами
https://xakep.ru/2024/02/12/flipper-canada/

UNIX Co-Founder Ken Thompson's BSD Password Has Finally Been Cracked

A 40-year-old password of Ken Thompson, the co-creator of the UNIX operating system among, has finally been cracked that belongs to a BSD-based system, one of the original versions of UNIX, which was back then used by various computer science pioneers.

Thompson's password has been revealed as "p/q2-q4!a" — a notation in chess to describe the move "pawn from Queen's 2 to Queen's 4."

Source: THN + ICD + Reddit + YouTube + LB
Источники: Хабр + AM + Dzen

#fun #linux

Доклады с конференции по кибербезопасности ShmooCon 2024, которая ежегодно проводится в Вашингтоне.

— Fuzzing at Mach Speed: Uncovering IPC Vulnerabilities on MacOS - Dillon Franke
— Network Layer Confusion: Fun at the boundaries - Joshua DeWald
— Groovy X-Ray Reverse Engineering like it's the 70s - Aleksandar Nikolic and Travis Goodspeed
— FuzzLLM: Fuzzing Large Language Models to Discover Jailbreak Vulnerabilities - Ian G. Harris and Marcel Carlsson
— Ewe Cant Trusst Yore Eers: An Overview of Homophone Attacks - Aaron Brown
— More Money, Fewer FOSS Security Problems? The Data, Such As It Is - John Speed Meyers, Sara Ann Brackett, and Stewart Scott
— Bad Romance: The TTPs of "pig butchering" scammers - Sean Gallagher
— Unlocking Enterprise-scale Security Visibility - Eknath Venkataramani and Frank Olbricht
— Summiting the Pyramid (of Pain) - Michaela Adams, Roman Daszczyszak, and Steve Luke
— FedRAMP is Broken (And Here's How to Fix It) - Shea Nangle and Wendy Knox Everette
— Hack the Planet Gently With a Code of Practice - Leonard Bailey, Harley Geiger, Katie Moussouris, Casey Ellis, and Jen Ellis (moderator)
— The Cosmic Turtle of Code: It's graphs all the way down - Mark Griffin
— Tracking the World's Dumbest Cyber-Mercenaries - Eva Galperin
— Improving Red Team Maturity Through Red Team as Code (RTaC) - Jack (Hulto)
— 14 Questions Are All You Need - Carson Zimmerman
— Going Meta–Pulling Info from Encrypted Radios - Luke Berndt
— Intel is a Fallacy, But I May Be Biased - Andy (klrgrz) Piazza
— No, SBOM Will Not Solve All Your Software Supply Chain Problems - Andrew Hendela
— Building Canaries with ELK and ElastAlert - Andrew Januszak
— Lean, Developer-Friendly Threat Modeling - Falcon Darkstar Momot
— Hacking the Planet (Under Glass) - Rich Wickersham
— You Wouldn't Scrape the Internet to Make an LLM: Law and Policy of Scraping the Ago of AI - Kurt Opsahl
— Sobriety Hacks! Unleashing the Power of Incremental Change - Jennifer VanAntwerp
— Exploitable Security Architecture Mistakes We Just Keep Making - William
— Blue2thprinting (blue-[tooth)-printing]: Answering the question of 'WTF am I even looking at?!' - Xeno Kovah
— Inter-App Collusion: Exploiting the Improper Export of Android Application Components for Privilege Elevation & Credential Theft - Edward Warren
— Why I Run an Internal Conference (And Why You Might Want To Too) - Joe Schottman
— Metabolism Hacking for Fun and Longevity - Ray
— The Cookie Dough Model of Cybersecurity - Amanda Draeger
— Why We Need to Stop Panicking About Zero-Days - Katie Nickels
— Tobacco 2.0: When Money Buys the Truth & the Outcome - Libby Liu and Joan Donovan
— DNS is Still Lame: Why it's a problem and what we can do about it - Ian Foster
— A Legal Defense Fund for Hackers - Harley Geiger and Charley Snyder
— AI Enhanced Hacks: Model in the Middle - Ryan Ashley and Ari Chadda
— Backtrace in Time: Revealing Attackers' Sleep Patterns and Days Off in RDP Brute-Force Attacks with Calendar Heatmaps - Andréanne Bergeron
— Back (45 Years?) in the USSR: Exploring the Russian Elbrus Architecture (With a 25-year-old Exploit!) - evm
— Driving Forward in Android Drivers: Exploring the future of Android kernel hacking - Seth Jenkins
— Hacking Network APIs - Dan Nagle
— NTLMv1-SSP DES Mechanics Explained - EvilMog (Dustin (EvilMog) Heywood)
— Cache Crashers: Exploiting and Detecting Vulnerabilities in Memcached - Bryan Alexander

Смотреть тут https://archive.org/details/shmoocon2024/

Российские APT чекают свои логи прямо сейчас на эксплуатацию самих себя, — вышел PoC для RCE в Empire C2.

Прикинувшись агентом, можно отправить задание на скачивание файла с машины "жертвы", и сохранить его по произвольному пути на сервере хакера.

safe_path = download_dir.absolute()
if not str(save_file.absolute()).startswith(str(safe_path)):

В коде Empire патч на старый Path Traversal под названием Skywalker из 2016 года обходится — перепутали метод abspath() с методом absolute(), который приводит путь к абсолютному, вместо того, чтобы его нормализовать.

Статья: https://aceresponder.com/blog/exploiting-empire-c2-framework
PoC: https://github.com/ACE-Responder/Empire-C2-RCE-PoC

CVE-2024-21413: Microsoft Outlook Leak Hash

https://github.com/duy-31/CVE-2024-21413

#exploit #pentest #redteam #ad