Работать в оффенсиве надо так, чтобы Elastic написал правило по детекту твоего никнейма 😆

Казалось, что может быть увлекательного в сетевом скане, когда XXI век готов разменять второй четвертак? Клонул Git, мейкнул гошечку и знай подноси себе эзерченелы и пфрниги. Но все не так однозначно. Даже грубый скан может быть веселым, если ему добавить интеллекта. Пусть даже и искусственного.

В этом докладе мы расскажем:

об использовании reinforcement learning для 64К транспортного контроля;
поисках «золотой пробы» пользовательских датаграмм;
фаззи-хешах и кластеризации (чтобы GET не казался таким бесконечным);
разговорах с ChatGPT о регэкспах;
скрытом интернете, где хостится Минсельхоз N-ской губернии;
блондинках, брюнетках, рыженьких и как не потеряться в медовых ловушках. А еще поговорим о других применениях ML и аналитики больших данных при гигасканах всего интернета.

Видео:
https://phdays.com/forum/broadcast/?tag=offense&talk=651

🔐 Spray Passwords, Avoid Lockouts

In this blog post, learn how to effectively use password spraying in Active Directory environments without triggering account lockouts. Dive into authentication mechanisms, password policies, GPO and PSOs.

Research
🔗 https://en.hackndo.com/password-spraying-lockout/

Tool
🔗 https://github.com/login-securite/conpass

#ad #spraying #passpol

Scriptblock Smuggling... Или как прятать скрипт Powershell, чтобы он не мелькал в логах, и обходить AMSI без исправлений в памяти (патчей)

https://bc-security.org/scriptblock-smuggling/

#bypass #redteam #amsi #evasion

#redteam MDSec 💪

Offensive VBA

https://github.com/X-C3LL/congresos-slides/blob/master/Offensive%20VBA.pdf

#PURPLETEAM #SOC #BYPASS
Оказывается Elastic EDR слеп перед простой кодировкой base64 🤦‍♂️

Пример чтения /etc/shadow файла:

eval "$(echo c3VkbyBjYXQgL2V0Yy9zaGFkb3cgPiAvdG1wL1QxMDAzLjAwOC50eHQ7IGNhdCAvdG1wL1QxMDAzLjAwOC50eHQ= | base64 --decode)"

А ваш SIEM детектит? )

UPDATE:
Правило детекта в KQL:

(process.args: *base64* AND (process.args: *--decode* OR process.args: *-d*) AND NOT process.parent.name: (apt-key)) OR 
(process.args: *base32* AND (process.args: *--decode* OR process.args: *-d*) AND NOT process.parent.name: (apt-key)) OR 
(process.args: *xxd* AND process.args: *-r* AND NOT process.parent.name: (apt-key))

#packt | Malware Development for Ethical Hackers: Learn how to develop various types of malware to strengthen cybersecurity

More : https://www.packtpub.com/en-in/product/malware-development-for-ethical-hackers-9781801810173

#resume #работа #cv #резюме

Red Team Interview Questions

Репозиторий, охватывающий широкий спектр тем и вопросов для кандидатов на собеседование, которые готовятся работать пентестерами в составе красной команды.

1. Initial Access
2. Windows Network
3. Active Directory
4. OS Language Programming
5. PowerShell
6. Windows Internals
7. DNS Server
8. Windows API
9. Macro Attack
10. APT Groups
11. EDR and Antivirus
12. Malware Development
13. System & Kernel Programming
14. Privilege Escalation
15. Post-exploitation (and Lateral Movement)
16. Persistence
17. Breaking Hash
18. C&C (Command and Control)
19. DLL
20. DNS Rebinding
21. LDAP
22. Evasion
23. Steganography
24. Kerberoasting and Kerberos
25. Mimikatz
26. RDP
27. NTLM
28. YARA Language
29. Windows API And DLL Difference
30. Antivirus and EDR Difference
31. NTDLL
32. Native API
33. Windows Driver
34. Tunneling
35. Shadow File
36. SAM File
37. LSA
38. LSASS
39. WDIGEST
40. CredSSP
41. MSV
42. LiveSSP
43. TSpkg
44. CredMan
45. EDR NDR XDR
46. Polymorphic Malware
47. Pass-the-Hash, Pass-the-Ticket or Build Golden Tickets
48. Firewall
49. WinDBG (Windows Debugger)
50. PE (Portable Executable)
51. ICMP
52. Major Microsoft frameworks for Windows
53. Services and Processes
54. svchost
55. CIM Class
56. CDB, NTSD, KD, Gflags, GflagsX, PE Explorer
57. Sysinternals Suite (tools)
58. Undocumented Functions
59. Process Explorer vs Process Hacker
60. CLR (Common Language Runtime)

Другие посты, которые я публиковал ранее
— вопросы на разные темы от действующего сотрудника Google
— 33 вопроса о веб-уязвимостях для самоподготовки

#REDTEAM #APT
https://habr.com/ru/companies/ru_mts/articles/832892/

Всем привет! В продолжение темы про NetNTLM-хешики, кражу сессий и эксплойты :))

Тут на днях вышел FakePotato, который пофиксил один супер интересный вектор повышения привилегий - через установку обоев.

Ранее у ncc group выходила крутая статья про то, как изменение обоев может привести к утечке NetNTLM-хеша. Там было достаточно много требований, ограничивающих атаку: Webdav Redirector, DNS-запись....

Однако decoder.cloud достаточно прозрачно намекнул, что нашел функционал, позволяющий изменить обои привилегированного пользователя с использованием специального COM-объекта.

"I played with the Desktop Wallpaper and was able to change the desktop background image of Adminstrator"

Поэтому приходится вскрывать карты :)

Я выложил инструмент LeakedWallpaper , который позволяет получить NetNTLM-хеши ЛЮБОГО пользователя, чья сессия присутствует на хосте. Требования по правам: любые.

Способ до установки июньского фикса KB5040434 будет работать безотказно.

Демо можно найти тут

Презентации с HITBSecConf

https://conference.hitb.org/hitbsecconf2024bkk/materials/