🥷🏿 Неуловимый GoblinRAT: история самого скрытного и загадочного бэкдора для Linux, обнаруженного в государственных инфраструктурах

Весной 2023 года сотрудники ИТ-компании, предоставляющей услуги различным секторам российской экономики (в основном госам), зафиксировали дамп хешей пользователей с контроллера домена, который был выполнен при помощи secretsdump с Linux-хоста. После чего системные логи хоста были очищены. Согласитесь, не похоже на легитимное поведение 🤔

Это не новые, уникальные техники, DFIR-специалисты часто сталкиваются с подобной активностью, однако именно эта малварь заинтересовала команду Solar 4RAYS своей уникальностью. Под катом — исследование GoblinRAT, из которого вы узнаете:

☑️ Что представляет собой GoblinRAT и в чем его особенность.
☑️ Почему обнаружить подобный вид малвари было сложно, а в некоторых случаях – практически невозможно.
☑️ Как программа для администрирования atop иногда может стать хорошей альтернативой SIEM.
☑️ Что может скрывать Zabbix-агент и другие легитимные сервисы на ваших серверах.

#incidentresponse #dfir

🤑 $20000 за выход из песочницы Chrome с помощью DevTools

Райтап, в котором автор делится опытом поиска и эксплуатации CVE-2024-6778 и CVE-2024-5836 в Chromium, которые позволяли выйти из песочницы с помощью расширения браузера (при минимальном взаимодействии с пользователем).

Вредоносное расширение запускало любую команду на системе, которая затем могла быть использована для установки малвари. Вместо того чтобы просто украсть ваши пароли и скомпрометировать браузер, злоумышленник мог взять под контроль всю систему.

👉 Читать райтап

#writeup #pentest #bugbounty

🤑 Подборка запросов для Shodan, которые можно использовать в ходе разведки

Фильтр по организации:

org:"Example"

Фильтр по формам входа:

http.title:"Login"

Фильтр по хостам, использующим требуемые SSL-сертификаты:

ssl:"example\.com" || ssl.cert.subject .cn:"example\.com"

Фильтр по веб-серверу Apache:

server:"Apache"

Фильтр по хостам, связанными с целевым узлом, с использованием хэша иконки:

http.favicon.hash:0123456789

👉 Источник

#recon #tips

🔐 Безопасное и надёжное усиление защиты Windows с помощью официальных методов Microsoft и подробных руководств: полезный репозиторий для этичного хакера

Если вы паритесь за приватность, любую систему, на который вы работаете, необходимо кастомизировать. Этот репозиторий преследует именно эту цель — помочь вам настроить только те инструменты и функции, которые уже реализованы Microsoft в винде, чтобы настроить её на максимальную безопасность и ограничить доступ, используя хорошо задокументированные, поддерживаемые, рекомендуемые и официальные методы.

Install-Module -Name 'Harden-Windows-Security-Module' -Force

👩‍💻 GitHub & Сайт

#security

🔥🥷🏿 Обнаружение уязвимости десериализации в LINQPad

Как и большинство red team специалистов, исследователь из TrustedSec потратил довольно много времени на поиск новых уязвимостей, которые можно использовать для первоначального доступа или горизонтального перемещения в сети.

Уязвимости десериализации — тот самый класс уязвимостей, который часто встречается в .NET-приложениях. А .NET — основная платформа, с использованием которой написано большинство софта в корпоративной инфраструктуре.

Одно из исследований привело автора к обнаружению уязвимости десериализации в LINQPad, приложении для .NET-разработки. Узнайте подробнее, как искать и эксплуатировать данный класс уязвимостей.

👉 Читать

#practice #redteam #pentest