• Positive Technologies выкатили интересный отчет, в котором описывают вредоносную кампанию, нацеленную на жителей стран Ближнего Востока и Северной Африки. Для распространения вредоносного ПО хакеры создают поддельные новостные группы в социальных сетях и публикуют посты с рекламой, содержащие ссылки на файлообменник или Telegram-канал. По этим ссылкам располагается ВПО AsyncRAT, модифицированное для поиска криптокошельков и взаимодействия с Telegram-ботом. Наиболее подробная информация есть по ссылке ниже:
• Кстати, давайте расскажу про распространение вредоносного ПО посредством различных блогов на YT \ Telegram и продвижение их через рекламу! На самом деле, данный метод был весьма эффективным, и особенно эффективным он был в 2018-2020 году (если мы говорим о Telegram). Суть заключалась в том, что злоумышленники создавали группы, куда публиковали различные программы или игры под видом "взломанных" приложений с платным функционалом. Такая группа активно рекламировалась в других каналах и тем самым находила свою аудиторию... Сейчас проблема носит точечный характер, так как мессенджер активно борется с распространением ВПО и удаляет такие группы. В любом случае, всегда старайтесь проверять то, что скачиваете. Особенно из неизвестных источников.
#Отчет
Please open Telegram to view this post
VIEW IN TELEGRAM
1🔥27👍21❤4🤝3
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥205👍46🤩21😍15❤6👏5🤣5👎4❤🔥2
• Пост выходного дня: Как нам стерли всю базу в Confluence и как мы героически ее восстанавливали.
• Интересное видео с PHD 2024, в котором авторы говорят о том, как восстановить более-менее актуальный слепок Confluence с помощью бэкапа полугодичной давности. Выступление очень живое, а тема весьма интересная. Рекомендую к просмотру: https://youtu.be/FZcWMmqLKj8
#ИБ #Видео
В ноябре 2023 года мы внезапно остались без Confluence. Все таблицы в базе внезапно оказались пустыми. Мы проанализировали файлы access.log и поняли, что нас хакнули. Анализ показал, что, поскольку наш инстанс торчал в публичном интернете, то злоумышленник воспользовался известной уязвимостью и хакнул нас.
Разумеется, первое, что мы сделали после того, как поняли проблему, — закрыли доступ к нашему Confluence через VPN. Второе, что мы сделали, — попытались восстановить базу из бэкапов. Но бэкапы у нас, разумеется не работали — примерно полгода...
• Интересное видео с PHD 2024, в котором авторы говорят о том, как восстановить более-менее актуальный слепок Confluence с помощью бэкапа полугодичной давности. Выступление очень живое, а тема весьма интересная. Рекомендую к просмотру: https://youtu.be/FZcWMmqLKj8
#ИБ #Видео
YouTube
Как нам стерли всю базу в Confluence и как мы героически ее восстанавливали
В ноябре 2023 года мы внезапно остались без Confluence. Все таблицы в базе внезапно оказались пустыми. Мы проанализировали файлы access.log и поняли, что нас хакнули. Анализ показал, что, поскольку наш инстанс торчал в публичном интернете, то злоумышленник…
👍28🔥6✍3😁3❤1
• Orange Cyberdefense недавно выкатили новую версию Mindmap по пентесту AD, которая доступна по ссылке ниже. Вероятно, что это самый объемный и актуальный роадмап на сегодняшний день!
➡️ https://orange-cyberdefense.github.io/ocd-mindmaps/
#Пентест #AD
#Пентест #AD
Please open Telegram to view this post
VIEW IN TELEGRAM
GitHub
GitHub - Orange-Cyberdefense/ocd-mindmaps: Orange Cyberdefense mindmaps
Orange Cyberdefense mindmaps. Contribute to Orange-Cyberdefense/ocd-mindmaps development by creating an account on GitHub.
🔥26👍7
infosec
• После того как в 1983 году Пол Мокапетрис и Джон Постел предложили концепцию доменных имен для сети ARPANET, она достаточно быстро получила одобрение ИТ-сообщества. Одними из первых реализовать её на практике взялись инженеры из Университета в Беркли. В 1984 году четыре студента представили первый DNS-сервер — Berkeley Internet Name Domain (BIND). Они работали в рамках гранта, выданного Управлением перспективных исследовательских проектов Министерства обороны США (DARPA).
• Разработанная учащимися университета система автоматически преобразовывала DNS-имя в IP-адрес и наоборот. Интересно, что когда её код загрузили на BSD (систему распространения ПО), первые исходники уже имели номер версии 4.3. Первое время DNS-сервером пользовались сотрудники лабораторий университета. Вплоть до версии 4.8.3 за разработку BIND отвечали члены исследовательской группы Университета в Беркли — Computer Systems Research Group (CSRG), но во второй половине 1980-х DNS-сервер вырвался за пределы вуза — его передали в руки Пола Викси из корпорации DEC. Пол выпустил обновления 4.9 и 4.9.1, а потом основал Internet Software Consortium (ISC), который с тех пор и отвечает за поддержку BIND. По словам Пола, все предыдущие версии опирались на код студентов из Беркли, и за прошедшие пятнадцать лет он полностью исчерпал свои возможности для модернизации. Поэтому в 2000 году BIND переписали с нуля.
• Сервер BIND включает в себя сразу несколько библиотек и компонентов, реализующих «клиент-серверную» архитектуру DNS и отвечающих за настройку функций DNS-сервера. BIND широко распространен, особенно на #Linux, и остается популярной реализацией DNS-сервера. Это решение установлено на серверах, обеспечивающих поддержку корневой зоны.
• Есть и альтернативы BIND. Например, PowerDNS, идущий в комплекте с Linux-дистрибутивами. Он написан Бертом Хубертом из голландской компании PowerDNS.COM и поддерживается open source сообществом. Решением также пользуются крупные облачные провайдеры, европейские телекоммуникационные компании и организации из списка Fortune 500. BIND и PowerDNS одни из самых распространенных, но не единственные DNS-серверы. Также стоит отметить Unbound, djbdns и Dnsmasq.
#Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
3👍45❤11🔥8🤯2
• Kroll Artifact Parser and Extractor (KAPE) — очень мощный инструмент для цифровой криминалистики, который позволяет быстро собирать и анализировать цифровые артефакты с устройств. Еще KAPE оптимизирует процессы сбора данных, что позволяет нам находить критически важные артефакты за считаные минуты. Тулза поддерживает гибкую настройку с помощью модулей для сбора (Targets) и анализа (Modules), что делает его универсальным и удобным для расследования инцидентов, проверки на компрометацию и анализа подозрительной активности.
➡️ Скачать KAPE можно с официального сайта по запросу через форму обращения: https://www.kroll.com/en/services/cyber-risk/incident-response-litigation-support/kroll-artifact-parser-extractor-kape
• Если вы уже используете , то сохраните себе ссылку на полезные шпаргалки. Этот материал вам однозначно пригодится:
➡ KAPE target extraction;
➡ Memory dump;
➡ Live response command and scanner;
➡ All in one artifact parsing;
➡ Event log / log scanning and parsing;
➡ Program Execution;
➡ File folder activity;
➡ NTFS and FileSystem parsing;
➡ System activity;
➡ Mounted image scanner.
#Форензика #KAPE
• Если вы уже используете , то сохраните себе ссылку на полезные шпаргалки. Этот материал вам однозначно пригодится:
#Форензика #KAPE
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥27👍8❤4👏1
Forwarded from Андрей Созыкин (Andrey Sozykin)
Взломать DNS за 10 секунд: атака отравления кэша
Именно такое время потребовалось Дэну Камински в 2008 году чтобы реализовать атаку отравления кэша на популярный DNS-сервер BIND. Как оказалось, атаке отравления кэша были подвержены почти все реализации серверов DNS, которые применялись в то время в интернете. Злонамеренное использование такой уязвимости могло привести к значительным сбоям на уровне всего мира 😱.
Атака отравления кэша DNS устроена следующим образом. DNS-резолвер, который работает в рекурсивном режиме, получает от клиента запрос на разрешение доменного имени. DNS-резолвер пересылает этот запрос одному из авторитетных серверов системы DNS. Злоумышленник перехватывает такой запрос и отправляет поддельный ответ, в котором указан неправильный IP-адрес. Если DNS-резолвер сохранит такой ответ в кэше, то он некоторое время будет выдавать всем своим клиентам неправильный IP-адрес для доменного имени. На этом адресе может размещаться, например, поддельный сайт банка.
DNS-резолвер сохранит поддельный IP-адрес в кэш, только если идентификатор в заголовке запроса DNS совпадет с идентификатором в заголовке поддельного DNS-ответа. Чтобы этого добиться, злоумышленник просто отправляет DNS-резолверу большое количество поддельных ответов с разными значениями идентификатора. Размер идентификатора в заголовке пакета DNS составляет 16 бит, возможно всего 65536 различных вариантов, что не очень много. Как показал Ден Камински, на практике подобрать нужный идентификатор можно за 10 секунд (смотрите про парадокс дней рождений).
В деталях разобраться, как реализуется атака отравления кэша, можно в статье "An Illustrated Guide to the Kaminsky DNS Vulnerability".
Как защититься от такой атаки? В 2008 году было предложено несколько быстрых решений, например, проверять не только идентификатор, но и номер UDP порта клиента, который выбирается случайным образом. Именно так делал Дэниел Бернштейн в сервере djbdns, который не удалось взломать в 2008 году. Однако даже при таком подходе атака остается реализуема, но требует больше времени.
Сейчас есть защищенные версии протокола DNS: DNSSEC, в котором используется цифровая подпись, и DNS over TLS (DoT) или DNS over HTTPS (DoH), в которых для передачи всех данных используется шифрование. Эти версии DNS мы подробно рассмотрим в разделе курса по защищенным сетевым протоколам.
Именно такое время потребовалось Дэну Камински в 2008 году чтобы реализовать атаку отравления кэша на популярный DNS-сервер BIND. Как оказалось, атаке отравления кэша были подвержены почти все реализации серверов DNS, которые применялись в то время в интернете. Злонамеренное использование такой уязвимости могло привести к значительным сбоям на уровне всего мира 😱.
Атака отравления кэша DNS устроена следующим образом. DNS-резолвер, который работает в рекурсивном режиме, получает от клиента запрос на разрешение доменного имени. DNS-резолвер пересылает этот запрос одному из авторитетных серверов системы DNS. Злоумышленник перехватывает такой запрос и отправляет поддельный ответ, в котором указан неправильный IP-адрес. Если DNS-резолвер сохранит такой ответ в кэше, то он некоторое время будет выдавать всем своим клиентам неправильный IP-адрес для доменного имени. На этом адресе может размещаться, например, поддельный сайт банка.
DNS-резолвер сохранит поддельный IP-адрес в кэш, только если идентификатор в заголовке запроса DNS совпадет с идентификатором в заголовке поддельного DNS-ответа. Чтобы этого добиться, злоумышленник просто отправляет DNS-резолверу большое количество поддельных ответов с разными значениями идентификатора. Размер идентификатора в заголовке пакета DNS составляет 16 бит, возможно всего 65536 различных вариантов, что не очень много. Как показал Ден Камински, на практике подобрать нужный идентификатор можно за 10 секунд (смотрите про парадокс дней рождений).
В деталях разобраться, как реализуется атака отравления кэша, можно в статье "An Illustrated Guide to the Kaminsky DNS Vulnerability".
Как защититься от такой атаки? В 2008 году было предложено несколько быстрых решений, например, проверять не только идентификатор, но и номер UDP порта клиента, который выбирается случайным образом. Именно так делал Дэниел Бернштейн в сервере djbdns, который не удалось взломать в 2008 году. Однако даже при таком подходе атака остается реализуема, но требует больше времени.
Сейчас есть защищенные версии протокола DNS: DNSSEC, в котором используется цифровая подпись, и DNS over TLS (DoT) или DNS over HTTPS (DoH), в которых для передачи всех данных используется шифрование. Эти версии DNS мы подробно рассмотрим в разделе курса по защищенным сетевым протоколам.
Internet Hall of Fame
Dan Kaminsky - Internet Hall of Fame
Dan Kaminsky was a renowned Internet security researcher who, in 2008, discovered a fatal flaw in the Internet’s Domain Naming System (DNS) and spearheaded the fix, coordinating resources and contributors who worked in stealth to patch DNS servers worldwide.…
🔥37👍23❤7 1
• Как неожиданно: cамозапрет на кредиты используют как очередной способ получить код доступа к госуслугам... Мошенники начинают звонить от имени сотрудников госуслуг и убеждают людей в том, что самозапрет установлен неправильно. Для "корректировки заявления" жертве предлагают перейти на сайт госуслуг по фишинговой ссылке. Если жертва вводит свои данные для авторизации, то теряет аккаунт.
• К слову, интерес к самозапрету оказался высоким: всего за 10 дней с момента запуска данной услуги ей воспользовались 5 млн. человек. Поэтому предупредите своих близких и родных.
#Новости
• К слову, интерес к самозапрету оказался высоким: всего за 10 дней с момента запуска данной услуги ей воспользовались 5 млн. человек. Поэтому предупредите своих близких и родных.
#Новости
👍35🤡24🤣16😁8🫡5❤1
• Очень интересное исследование про различного рода уязвимости, которые можно реализовать через SIM-карту. Даже примеры кода есть... А еще авторы собрали интересную тулзу для эмуляции SIM-карт, которая может быть интегрирована в различные устройства для тестирования и исследований.
➡️ Исследование: https://www.usenix.org/
➡️ GitHub: https://github.com/tomasz-lisowski/simurai
➡️ Материал в формате видео: https://youtu.be/3_R9P--ksE4
#SIM #ИБ
#SIM #ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥23👍17❤3
• В 80-х годах интернет был полон электронных досок объявлений (Bulletin Board System, BBS). Это были ранние версии интернет-форумов, которые позволяли публиковать сообщения по заданным темам. Одним из пользователей таких систем был программист, анархист и борец за права меньшинств Том Дженнингс. Он захотел создать собственное решение, которое будет дешевле и доступнее имевшихся на тот момент возможностей интернета.
• Первыми участниками новой сети стали сам Дженнингс и его друг Джон Мадил, которые жили на разных побережьях США. Технически решение представляло собой сеть типа «точка-точка» и связь устанавливали напрямую между двумя участниками. Они готовили свои письма в оффлайне, а отправляли в ночные часы, когда телефонная связь была дешевле. По этой схеме практически без изменений Fidonet работала и дальше, успешно совмещая онлайн-режим с оффлайном. Единственное, что поменялось в последующие годы — это структура самой сети.
• Когда узлов стало больше пятидесяти, Том предоставил администраторам по городам возможность управлять сетями по географическому признаку. И Fidonet из линейной стала древовидной.
• С самых первых дней Fidonet был некоммерческим проектом, что повлияло на атмосферу в сообществе. Пользователям запрещалось вести коммерческую деятельность. За мат и оскорбления полагался бан. Участников могли отчитать за оффтоп, ненужные цитаты и вообще за многословие — требовательность к трафику также была заложена в самую «ДНК» Fidonet.
• Отчасти из-за таких строгих правил и специфики тогдашней онлайн-аудитории в Fidonet публиковалось много интересного, грамотного контента. Многие пользователи говорят, что нигде не получали такого удовольствия от общения, как в этой сети. А специалисты называют Fidonet одной из самых успешных иерархических структур, построенных на анархических принципах: вся власть пользователям, минимум запретов, а всё, что не запрещено — разрешено.
• Пика своей популярности Fidonet достигла в середине 90-х, когда сеть насчитывала 40 тыс. узлов. После этого он начала проигрывать интернету борьбу за пользователей. Модемы стали дешевле, связь — доступнее, контент — «мультимедийнее». В отличие от Дженнингса и его последователей, массовую аудиторию не отвратила реклама. Кроме того, к концу 90-х неторопливый темп Fidonet совсем перестал отвечать представлениям о скорости общения. Сам Дженнингс перестал участвовать в развитии проекта во второй половине 90-х из-за расхождений с администраторами сети.
• С другой стороны, Fidonet прошла традиционный путь для очень многих человеческих сообществ. Построенный на энтузиазме проект обладал многими выигрышными качествами, которые собрали ему армию поклонников. Эти люди выстроили собственный порядок и жили в нем несколько лет.
• Со сменой поколений пользователей сменилось и настроение внутри Fidonet — старожилы писали, что времена уже не те, а новички стали хулиганить и заниматься троллингом.
• Впрочем, совсем ставить крест на Fidonet не стоит. Технология FTN-сетей (Fido Technology Network) применяется для доставки специфических данных, например, для коммуникации между банками или правоохранительными органами. Данные передаются по интернету, но с сохранением специфики Fido (point-to-point, сеансовый принцип коммуникации, иерархическая организация).
• Саму Fidonet сегодня населяют боты и небольшое число энтузиастов, которым по-прежнему претит Интернет. При желании можно даже запустить ноду и почувствовать себя настоящим техноанархистом.
#Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥58👍40❤20👏4
• Нашел крутой инструмент, который позволяет вам развернуть уязвимую версию Docker, Kubernetes и ядра Linux. Тулза будет очень полезна пентестерам, для получения практического опыта в данном направлении. Подробное описание проекта доступно по ссылке ниже:
#Пентест #Linux #Kubernetes #Docker
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥47👍19😁2