SVG Filters / Clickjacking 2.0 — превращаем классический «слепой» кликджекинг в интерактивную real-time атаку
#SVG #Clickjacking #AppSec #pentest

Классический кликджекинг представляет собой простое наложение прозрачного iframe поверх интерактивного объекта. При этом из-за политики Same-Origin Policy атакующий не видит, что происходит внутри iframe.

SVG Clickjacking 2.0 обходит это ограничение через SVG-фильтры (feColorMatrix, feComposite, feDisplacementMap), которые использует для анализа пикселей целевого сайта. Техника позволяет строить сложные интерактивные сценарии, например, отображать фальшивую кнопку только после того, как в iframe загрузилась форма логина.

➡️Как проходит атака

SVG-фильтры комбинируются так, чтобы они работали как логические вентили (AND, OR, XOR). Это позволяет собирать простейшие сценарии прямо внутри графического пайплайна браузера без доступа к DOM или JS целевого origin.

Атакующий накладывает SVG-фильтры на iframe с целевым сайтом.
Фильтры настраиваются так, чтобы реагировать на конкретные паттерны пикселей (цвет, яркость, форма, положение UI-элементов).
В зависимости от содержания iframe (какое состояние UI сейчас на экране) SVG-фильтр может динамически подменять отображаемую пользователю картинку, показывать или скрывать элементы, смещать кликабельные области и синхронизировать их с реальным состоянием целевого сайта.

➡️Технические особенности

Фильтр настраивается как пороговый детектор с помощью feColorMatrix. Матрица преобразует целевой цвет в чистый белый (Alpha = 1), все остальные — в прозрачный (Alpha = 0). Это создает бинарную карту присутствия нужного UI‑элемента.​
Используя оператор dilate (через feMorphology с operator="dilate"), атакующий увеличивает область детектирования. Это сводит на нет защиту через anti‑clickjacking‑приемы или незначительные смещения верстки — фильтр среагирует, если искомый цвет появится где‑то в заданной области.
Примитив feComposite с операторами in, out, xor позволяет комбинировать результаты предыдущих шагов. Это дает условный рендеринг, когда оверлей атакующего становится видимым только тогда, когда пиксели в iframe соответствуют заданному паттерну.

➡️Защита

Единственным надежным методом защиты остается полный запрет на фрейминг на уровне HTTP-заголовков. JS-проверки (frame busting scripts) и визуальные искажения неэффективны против анализа на уровне композитора браузера.

Content-Security-Policy: frame-ancestors 'none'
X-Frame-Options: DENY / SAMEORIGIN.

🔗Подробности

🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч

Stillepost: Проксирование C2-трафика через Chrome DevTools Protocol
#maldev #malware #C2 #evading #CDP #chrome #devtools

Исследователь x90x90.dev опубликовал PoC инструмента Stillepost, позволяющего скрытно проксировать HTTP-трафик C2 через легитимный браузер жертвы, используя Chrome DevTools Protocol (CDP).

Суть техники в том, что имплант делегирует сетевое взаимодействие установленному в системе браузеру (Chrome, Edge) вместо того, чтобы самому инициировать подозрительные соединения. Благодаря этому в рамках атаки сетевой трафик исходит от доверенного процесса chrome.exe или msedge.exe. В корпоративных средах этим процессам часто разрешен доступ в интернет через прокси и фаерволы, тогда как неизвестные бинарники блокируются.

Техника не требует внедрения кода в адресное пространство браузера или перехвата API. Это позволяет обходить методы детекции EDR, ориентированные на поиск следов инъекций или подозрительных потоков.​

➡️Как это работает

Имплант запускает браузер в headless-режиме с флагом --remote-debugging-port=0 (или заданным портом) и временным профилем пользователя.
Получает WebSocket URL отладчика через запрос к http://127.0.0.1:<port>/json/list и подключается к CDP.
Вместо использования домена Network, имеющего ограниченные возможности для произвольных запросов, Stillepost использует метод Runtime.evaluate.
В контекст браузера передается JavaScript-функция, которая выполняет XMLHttpRequest (XHR) к C2-серверу с заданными параметрами (метод, URL, заголовки, данные).
Результат выполнения JS (статус, заголовки ответа, тело) сериализуется в JSON и возвращается импланту через WebSocket-канал CDP.​

➡️Ограничения

Техника работает только если C2-сервер корректно настроен для обработки CORS (Cross-Origin Resource Sharing). Так как запросы выполняются из контекста браузера (обычно с about:blank или другой страницы), сервер должен возвращать заголовки Access-Control-Allow-Origin или конкретный origin, чтобы браузер разрешил чтение ответа.​

🔗Репозиторий: github.com
🔗Источник: x90x90.dev

🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч

0day джекпот: как мы нашли четыре критические дыры в SSO и ждали патчей
#0day #SSO #patch

Представьте: вы открываете письмо, кликаете по безобидной ссылке, и ваш корпоративный аккаунт теперь принадлежит кому-то другому. И это лишь один из четырех критических багов в коробочном SSO-решении, которые мы обнаружили во время рутинного пентеста.

Мы покажем, как одна логическая ошибка в продукте может привести к полному захвату аккаунтов, и объясним, как действовать, когда находишь подобный «подарок» в своей инфраструктуре.

Статья от коллеги из Бастиона, за что ему респект)

🔗Источник

🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч

NANOREMOTE: Windows-бэкдор с туннелированием через Google Drive API
#NANOREMOTE #REF7707 #WMLOADER #MalwareAnalysis #C2

Обнаружен в октябре этого года. Показывает сильное архитектурное сходство с имплантом FINALDRAFT китайской группировки REF7707: совпадает логика генерации GUID, структура HTTP-запросов, пейлоады из сэмплов на VirusTotal расшифровываются идентичным статичным AES-ключом.

Ключевая особенность заключается в использовании Google Drive API в качестве скрытого транспортного уровня для C2. Это позволяет обходить DPI и маскировать эксфильтрацию под легитимный TLS-трафик.

➡️Структура атаки

Загрузчик WMLOADER реализует технику Masquerading, скрываясь под именем компонента Bitdefender (BDReinit.exe) с невалидной подписью. Декодирует шеллкод (Rolling XOR), который расшифровывает пейлоад из файла wmsetup.log (AES-CBC) и инъецирует его в память.
Пейлоад (NANOREMOTE) — 64-битный имплант на C++ без обфускации. Поддерживает 22 типа команд. Основной C2-канал использует HTTP POST-запросы (/api/client) с шифрованием AES-CBC и сжатием Zlib.

➡️Google Drive API Exfiltration

Бэкдор строит скрытый туннель через REST API Google Drive, используя OAuth 2.0 Refresh Tokens для поддержки персистентной сессии.

Используются нативные вызовы WinHttpSendRequest к эндпоинтам типа /upload/drive/v3/files. Это позволяет доставлять пейлоады и выгружать данные внутри защищенного TLS-соединения с доверенным хостом.
Учетные данные парсятся из кастомной pipe-delimited структуры (|*|, |-|) или переменной окружения NR_GOOGLE_ACCOUNTS. Есть поддержка ротации клиентов.
Встроенный менеджер очередей обеспечивает асинхронное выполнение задач с возможностью управления состоянием транзакции и верификацией целостности по MD5.

➡️Детектируемые аномалии

Несмотря на использование легитимного сервиса, реализация содержит специфические индикаторы:

User-Agent NanoRemote/1.0 в запросах к API (если не изменен в билде),
специфический паттерн API-вызовов: перед скачиванием всегда запрашиваются метаданные через /drive/v3/files/%s?alt=media.

🔗Подробности и IoC

🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч

ReDisclosure. Разбираем инъекции в полнотекстовый поиск на примере MyBB
#mybb #php #sqli #sast #waf

В течение мно­гих лет ата­ки с исполь­зовани­ем SQL-инъ­екций в основном сво­дились к попыт­кам нарушить син­таксис зап­росов. Одна­ко с раз­вити­ем инс­тру­мен­тов акцент смес­тился на соз­дание «кру­тых наг­рузок» и раз­бор пре­дуп­режде­ний SAST, которые мно­гие игно­риру­ют. Я же поп­робовал поис­кать воз­можность инъ­екции без экра­ниро­вания — с мыслью о том, что на это у SAST или WAF не будет пра­вил.

Так я нащупал новую тех­нику для внед­рения в регуляр­ные выраже­ния. Сна­чала я нем­ного рас­ска­жу о тра­дици­онных методах, которые были нам извес­тны рань­ше, затем перей­дем к моим наход­кам. В ходе тес­тирова­ния мне уда­лось вскрыть уяз­вимость в MyBB, которая поз­воляла прос­матри­вать наз­вания уда­лен­ных тем без аутен­тифика­ции.

🔓 Ксакеп

🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч