⚙ Reversing malware для начинающих.

• Анализ вредоносного кода — это целая индустрия в области обеспечения информационной безопасности. Им занимаются и антивирусные лаборатории, выпускающие свои продукты для защиты, и узкоспециализированные группы экспертов, стремящихся быть в тренде векторов атак, и даже сами вирусописатели, которые конкурируют между собой за потенциального клиента — «жертву».

• Одна из важных частей анализа малвари — реверсинг или «обратная разработка», программного обеспечения. Если в двух словах, реверсинг — это попытка изучить и воссоздать алгоритмы работы программы, не имея на руках исходных кодов, с помощью специальных отладочных техник. Об этом сегодня и пойдет речь.

• Предлагаю ознакомиться с серией полезного материала от журнала ][акер, который открыл бесплатный доступ к данным статьям:

- Введение: выбираем инструменты, репозитории и источники знаний;
- Разбираем простой вирус;
- Вскрываем упаковщики, ломаем протекторы;
- Инструменты скрытия вредоносной активности;
- Внедрение shellcode и шифрование malware-кода.

#RE #RU

📚 APT война с Виндой.

• Появился перевод книги Windows APT Warfare от известного, в узких кругах, Yashechka. Перевод разделен на 2 части. Первая опубликована на habr, а вторая часть на форуме XSS.

• Очень интересное чтиво для тех, кто занимается ассемблером, малварью и информационной безопасностью.

• Ссылка на книгу (оригинал).
• Ссылки на перевод: Часть 1 и часть 2.

• По традиции, предлагаю прожать лайкос за перевод технической литературы, ведь это огромный труд и затраченное время 👍

#ИБ #RE #Assembler

• Книгу "APT война с Виндой", о которой написано выше, собрали в единый pdf файл для более удобного прочтения.

👍 Сохраняйте в избранное и делитесь материалом.

• Ссылки на источники: Часть 1 и часть 2.

#ИБ #RE #Assembler

💸 Взламываем транспортные карты: чит на бесконечные деньги.

• Занимательная история о том, как четверо старшеклассников из Массачусетса взломали местную транспортную систему. Жителям Бостона статья поможет получить бесплатные поездки, а для всех остальных этот материал будет неплохим уроком по реверс-инжинирингу. Ну или, по крайней мере, вы узнаете любопытную историю.

➡️ https://habr.com/ru/post/772222/

• К слову, ребята выступали на DEFCON 31 и рассказывали о вышесказанном. Посмотреть можно тут: https://youtu.be/

• Дополнительно: Реверс-инжиниринг британских билетов на поезд.

#ИБ #RE

👨‍💻 Введение в реверсинг с нуля, используя IDA PRO.

• Делюсь ссылкой на цикл статей по реверсу для начинающих. В оригинале этот материал опубликован на английском языке, но у нас есть перевод от известного Yashechka, который уже переводил множество литературы и курсов (например книгу "APT война с Виндой").

• Цикл статей опубликован тут: https://yutewiyof.gitbook.io

• И не забываем прожать свой царский лайк за перевод технической литературы, ведь это огромный труд и затраченное время 👍

#ИБ #RE

👾 Руткиты Linux.

• Изучение руткитов Linux - отличная возможность узнать о том, как работает ядро. Делюсь небольшой подборкой материала, которая поможет разобраться в данной теме. Материал будет очень полезен реверс-инженерам:

- Part 1 - Introduction and Worflow;
- Part 2 - Ftrace and Function Hooking;
- Part 3 - A Backdoor to Root;
- Part 4 - Backdooring PRNGs by Interfering with Char Dev;
- Part 5 - Hiding Kernel Modules from Userspace;
- Part 6 - Hiding Directories;
- Part 7 - Hiding Processes;
- Part 8 - Hiding Open Ports;
- Part 9 - Hiding Logged In Users.

#RE #Linux

🚂 О троице, которая хакнула настоящий поезд. Даже целых 30 поездов.

• Поезд, сделанный польской компанией, внезапно сломался во время техобслуживания. Специалисты были беспомощны — поезд был в порядке, только никак не хотел ехать. Доведённые до отчаяния, они вызвали на помощь команду Dragon Sector, члены которой нашли такие чудеса, о которых машинисты даже и не мечтали.

• В этой истории мы отправимся в необычное путешествие. Путешествие, полное неожиданных открытий и событий, путешествие под давлением времени и больших денег, а также необычных технологий. Путешествие, в котором поезд играет самую важную роль — хотя, к сожалению, он не едет, а должен был бы. Пристегнитесь — или, по крайней мере, сядьте поудобнее, потому что дальше будут крутые повороты.

➡️ Перевод: https://habr.com/ru/post/778716/

➡️ Оригинал: https://zaufanatrzeciastrona.pl/

#ИБ #RE

👩‍💻 Устройство памяти процессов в ОС Linux. Сбор дампов при помощи гипервизора.

• Иногда для анализа вредоносного программного обеспечения или, например, для отладки какого-либо процесса может потребоваться дамп памяти процесса. Но как его собрать без отладчика? Постараемся ответить на этот вопрос в статье.

Задачи:
- Обозначить цель сбора дампа процесса.
- Описать структуру памяти процессов в Linux и отметить различия в старой и новой версиях ядра ОС.
- Рассмотреть вариант снятия дампа памяти процесса внутри виртуальной машины на базе связки гипервизора Xen и фреймворка с открытым исходным кодом DRAKVUF.

Содержание статьи:
- Что такое дамп памяти и зачем он нужен?
- Как организована память процессов в ОС Linux?
- Почему в новых ядрах используется иная структура (maple tree)?
- Сбор областей виртуальной памяти на версии ядра до 6.0;
- Сбор областей виртуальной памяти, начиная с версии 6.1;
- Реализация при помощи Xen и DRAKVUF.

➡️ Читать статью [14 min].

#Linux #RE #kernel

👨‍💻 Adaptive DLL Hijacking.

• В операционной системе Windows приложения и службы при запуске ищут DLL, необходимые для их правильного функционирования. Если эти DLL не найдены или их загрузка реализована небезопасным способом (DLL вызываются без использования полного пути), то можно повысить привилегии, заставив приложение загрузить и выполнить вредоносный DLL-файл. В этой статье описаны различные методы, которые можно использовать для перехвата DLL:

- Known DLLs;
- Safe Search;
- What is Export Table;
- How Export Table Cloning Process Work;
- Dynamic IAT patching: Modifying the Import Address Table;
- How Dynamic IAT Patching works?
— Advantages of Dynamic IAT Patching;
— Example Code Snippet (Simplified);
- Siofra;
- DLLSpy;
- Robbers;
- Explanation of module search order;
- Stack walking: Manipulating the call stack;
— Manipulating the Call Stack;
- Run-time table reconstruction: Rebuilding tables during execution;
— Adaptive DLL Hijacking Techniques;
— Advanced Techniques;
- Security Research.

• В качестве дополнительного материала: Perfect DLL Hijacking. Разбор техники.

#ИБ #DLL #RE