ANY.run выпустили статью, как оформить отчет об анализе малваре.

Основные пункты:

Общая информация: основные результаты исследования, название, происхождение, характеристики.

Основная информация: тип малвари, имя файла, размер, возможности обнаружения AV.

Хэши: MD5, SHA1, SHA256, SSDEEP …

Характеристики: заражение, самосохранение, распространение, взаимодействие с серверами, сбор данных.

Зависимости: требуемая ОС, установленное ПО, DLL, URL-адреса, скрипты.

Поведение: какие исполняемые файлы удаляет ВПО, проверяет ли она язык системы, запускает ли внедренный код в другом процессе или изменяет какие-либо настройки.

Статическая информация: анализ кода, заголовки.

Дополнительные данные: скриншоты, логи, выдержки из строк.

IOC: индикаторы компрометации для обнаружения и предотвращения проникновения.

#notes

Так о чем будет канал?) Будет обзор новостей кибербеза и трендов ТТП, правил обнаружения, буду проводить некий solo purple team)) поатакуем, постараемся обнаружить себя и попатчим известные тулы, чтобы оставаться скрытными 🙈
А для кого?) Основной упор будет на экспертов/аналитиков SOC, пентестеров и админов

Detection engineering можно описать как набор процессов, которые позволяют обнаружить потенциальные угрозы в инфраструктуре.

Процессы описывают жизненный цикл:

1. сбор требований к обнаружению
2. разработка и тестирование правил и политики обнаружения
3. внедрение результатов п.2
4. Проверка (валидация) эффективности внедренных правил

#notes@detectioneasy
#detection@detectioneasy

К моему не знаю, только сейчас обнаружил ресурс https://attackrulemap.com/.
Чем он полезен? Автор смапил тесты atomic red team, правила Sigma и Splunk. Атакующие, могут изучать соответствующие способы обнаружения их атак, или использовать в отчетах для выдачи рекомендаций. Синей стороне будет полезно для разработки детектирующей логики и поиска тестов для валидации правил)
#notes
#tools

На Хабре статья про утилиты Didier Steven’s https://habr.com/ru/companies/ruvds/articles/869680/.
Если кто-то хотел раз хотел провести анализ вредоносных документов или pdf-файлов, сталкивались с oledump, pdf-parser, rtfdump

Всем привет!

Глобально существует несколько видов кейлоггеров:
- На хуках (SetWindowsHookEx()) - винда сама будет уведомлять о нажатии;
- На GetAsyncKeyState() - бесконечный опрос нажатой клавиши;
- На GetInputData() - рисуется большое окно, внутри которого идет обработка нажатий клавиш;
- На ETW (только экранная клавиатура. POC)

Мне показалось этого мало, плюс, давно хотелось поглубже изучить графику в Windows. Посему взор упал на фреймворк MS UIA (User Interface Automation). Изначально он задумывался для людей с ограниченными возможностями, чтобы разработчики ПО могли озвучивать элементы на экране или осуществлять некоторое иное представление графики. Впрочем, это не мешает использовать фреймворк для слежки за пользователями :)

С помощью MS UIA вы можете делать абсолютно любые действия. Ровно как если бы вы сидели перед компьютером собственной персоной: нажатие кнопок, работа с окнами, вызов менюшек. И самое главное, конечно, чтение текста : )

Так появился небольшой инструмент Spyndicapped и статья с описанием : )) POC успешно хватает сообщения в Telegram, Whatsapp, Slack и , вишенкой на торте, осуществляет кражу паролей из KeePass. Всё это — средствами MS UIA, что потенциально чуть более скрытно, чем ранее известные методы.

Такие дела 🙂

Параллельно получилось обрести знания в области программирования для людей с ограниченными возможностями, так что если у вас будет шабашка............... 😁

Кому интересно про использование LLM-агентов сегодня в 19:00 воркшоп) должно быть интересно

Когда вы последний раз проверяли свои vps/vds на базовые требования к безопасности?) пришло время провести аудит https://github.com/vernu/vps-audit

#tools@detectioneasy