ИБ (практическая) тоже довольно сильно изменится. Это предсказывалось многими. Это происходит

В Journal of Computer Virology and Hacking Techniques издательства Springer опубликована наша с основателем блокчейн-платформы Emercoin Олегом Ховайко статья: https://link.springer.com/article/10.1007/s11416-025-00548-2
Это окончательный англоязычный вариант с правками и учётом замечаний нескольких рецензентов. Алгоритм разработан и реализован Олегом. Моя роль в этой работе аналитическая - я пытался этот алгоритм сломать. На русском про алгоритм мы рассказывали на конференции РусКрипто-2024 практически год назад. RC4OK получился довольно шустрым, практически в 2 раза быстрее ближайшего конкурента - алгоритма Spritz.

RC4OK используется в Emercoin, реализация на C доступна на github: https://github.com/emercoin/rc4ok
Мы также писали ранее о реализации на Rust.

Алгоритм является низкоресурсным и отлично подходит для IoT и киберфизических систем, о которых мы часто слышим в последнее время.

Бумажная версия статьи выйдет в сборнике, посвящённом РусКрипто. Исходя из прошлого опыта, это будет где-то летом или осенью.

PS. В этом году на РусКрипто попасть не получилось по целому ряду причин. Скучаю. Постараемся исправиться

#криптография #rc4ok #почитать

Только что журнал прислал ссылку: https://rdcu.be/egRNz

Статью можно почитать всем желающим.

#почитать #rc4ok #криптография

Копия той самой ракеты-носителя Восток величественно возвышается на берегу Яченского водохранилища, напоминая нам о наших предках, которые после разрушительнейшей войны в условиях массы ограничений и жёсткой конкуренции смогли не просто восстановить страну, но и реализовать технологический рывок, позволивший первыми в мире вывести человека в космос, обеспечив задел и лидерство на многие десятилетия. С Днём Космонавтики!

Многие обсуждают Xanthorox AI - новый ИИ-инструмент для проведения атакующих операций в сети Интернет, который перевернёт мир ИБ, деклассирует кучу ИБ-компаний, ударит по целым направлениям типа Threat Intelligence, а все антивирусы превратит в тыкву, не дожидаясь полночи (правда, они, похоже, уже). Мы писали о чём-то таком ещё в январе, повторяться не хочется.

Пока многие обсуждают, мы глядим, как аналитический инструментарий нашей лаборатории автоматически обрабатывает с помощью ИИ сгенерированный на лету DeepSeek-ом заобфусцированный скрипт-downloader с запуском скачанной нагрузки в памяти без сохранения на диск. Скрипт, понятно, без расширения, так интереснее. Модель определяет язык сама. На каждый хитрый ИИ найдётся другой хитрый ИИ :)
Мы назвали нашу платформу Рекрипториум.

#ии #рекрипториум

Интересная техника дампа LSASS

1. Будучи админом, повышаемся до SYSTEM. Через уязвимый драйвер (можно любой установить, включая, например, один из этих) получаем возможность выполнять код в ядре.
2. Ищем LSASS, временно отключаем PPL.
3. Клонируем LSASS и дампим уже клон.
4. Восстанавливаем PPL.

Здесь подробно описано, как это делается, на примере инструмента под названием Doppelganger. Помимо самой техники описано ещё несколько приёмов по усложнению обнаружения. В общем, полезно почитать.

#offensive #windows #почитать

Интересный эксперимент.

Кратко: взяли Sysmon, закинули логи в Windows Copilot (доступ к нему есть в Windows - он туда тесно интегрирован и условно бесплатен), получили логику EDR. Дёшево и сердито.

Эксперимент на самом деле один из многих подобных. С LLM экспериментируют и работают очень многие, у кого есть необходимые ресурсы как вычислительные, так и человеческие. Мы занимаемся этим плотно и ресурсы у нас есть в достатке.

#ии #windows

Кому интересно поиграться с локальной LLM и MCP для реверсинга бинарей, вот пример, как это делается: https://medium.com/@clearbluejar/supercharging-ghidra-using-local-llms-with-ghidramcp-via-ollama-and-openweb-ui-794cef02ecf7

Но вообще простенькие локально развёрнутые LLM слишком тупы для этих задач, чтобы сразу дать профит. Надо конкретно файнтюнить.

Локально - в смысле на своём ПК или ноутбуке. Локальность - она разная :)

#ии #реверсинг

С Днём Победы!

Я эксперимент, кстати, повторил на ноутбуке с некоторыми модификациями: Ghidra поставил на отдельную виртуалку, взял другую LLM (7 миллиардов параметров), которая умеет в tooling. Результаты, в принципе, подтверждаю, но потенциал даже за счёт промт-инжинирнга вижу довольно большим. Во всяком случае удалось добиться переименования (сгенерировать осмысленные имена) ряда функций, исходя из их функционала. Т.е. модель умеет понимать и объяснять, что функции делают. Это, отмечу, полностью локально, пусть и на топовом игровом, но ноутбуке

#реверсинг #ии

Хорошая коллекция материалов по пентестам: https://github.com/m14r41/PentestingEverything/tree/main

#offensive

Ещё одна техника регистрации фейкового антивируса, чтобы отключить Defender: https://github.com/es3n1n/defendnot
#offensive #windows

С эвристическим детектом вредоносов, написанных на скриптовых языках у антивирусов всё гораздо хуже, чем с бинарями. Технически это объяснимо: для каждого из таких языков нужно создавать свой анализатор с построением Абстрактного Синтаксического Дерева (AST), своими паттернами и ML-моделями. При этом такой анализатор часто пишется на компилируемом языке. Те, кто портировал, например, ML-модели на C, нас поймут. Трудоёмкость довольно большая, но даже эта серьёзная работа ничего не гарантирует. Если у скрипта нет явно выраженных аномалий типа топорной обфускации, антивирус вряд ли на него среагирует, как это и видно на скриншоте.
На скриншоте результат анализа на VirusTotal PHP-дроппера из нашей обширной базы вредоносов, скачивающего файлы и пытающегося запустить их с помощью различных команд, а затем подчищающего за собой. Никакой обфускации, никаких аномалий. Без детального анализа с пониманием смысла обойтись сложно. С точки зрения привычных эвристик скрипт выглядит вполне обычно.
Кстати, сигнатурить такие вещи практически бесполезно в силу payload pipeline и автогенерации. Разве что извлекать IoC-и типа URL или IP-адресов, которые не особо долго живут. Это тоже, надо отметить, работа, которую часто выполняет аналитик вручную.
У нас в лаборатории для автоматического анализа скриптов развёрнута LLM, которую мы регулярно "файнтюним" силами нашей команды датасайентистов. Вот результат анализа с её помщью:

{'score': '10', 'signature': 'malicious_shell"', 'reason': 'The script downloads and executes files from a suspicious IP address, uses multiple command execution functions, and deletes evidence after execution.'}

#антивирус #рекрипториум #ии

Про песочницы

В отрасли часто можно встретить мнение, что песочница - это чуть ли не решение всех проблем: запустил в ней файл на исполнение, сдампил память, проанализировал дамп, посмотрел на поведение - сразу понятно. Всё, на первый взгляд, выглядит действительно радужно, однако, как всегда, есть нюансы.

Первый нюанс - окружение. Далеко не всегда файл в принципе можно запустить в песочнице. Он может содержать какие-то зависимости, которых нет в изолированной среде. Например, для выполнения скрипта нужен, как минимум, интерпретатор или jit-компилятор необходимой версии. Плюс к этому, необходимые этому файлу библиотеки или другие файлы и записи. Иначе файл не запустится или не отработает, как надо. Результат анализа такого файла в песочнице, как мы понимаем, будет околонулевым.

Второй нюанс - параметры запуска. Есть, например, динамически подключаемая библиотека, экспортирующая, скажем, 20 функций. Одна из них запускает вредоносную логику. Чем здесь поможет песочница, если неизвестно, что это за функция? Ничем. Другой пример - аргументы командной строки. Если они неизвестны, то толку от анализа в песочнице никакого.

Третий нюанс - малварь часто пытается определить, работает она в песочнице или нет. Есть разные способы сделать это: от специфичных маркеров и задержек до детекта, что за клавиатурой присутствует человек. Для широко используемых (и доступных) решений способы обнаружения работы в песочнице известны в узких кругах. Если же речь идёт об открытых песочницах типа "Кукушки" (Cuckoo Sandbox) или её наследницы CAPE, то решений по их обнаружению и обходу существенно больше, а доступны они более широкому кругу лиц. Вот первая попавшаяся ссылка с подробным описанием: https://dspace.cvut.cz/bitstream/handle/10467/101360/F3-DP-2022-Manhal-Ondrej-Evading_CAPE_Sandbox_Detection.pdf

Вывод такой: строить действительно качественное обнаружение вокруг той же CAPE нельзя, даже если её слегка модифицировать и накачать ИИ. По вышеозначенным причинам. Модифицировать серьёзно и убрать все маркеры и уязвимости - это, считай, переписать заново. И мандиантовской CAPA сверху тоже недостаточно для этого. Это всё может и должно быть вспомогательными, но не основными инструментами. Всё это особенно актуально для анализа скриптов, о чём мы говорили выше.

Мы преимущественно опираемся на разработанные нами инструменты анализа, базирующиеся на ИИ и глубоком анализе содержимого без необходимости запуска в изолированных средах. Это и существенно быстрее работает, и даёт, как оказалось, более качественный вердикт. Хотя, конечно, песочницу используем в ряде случаев тоже, но далеко не так часто, как многие другие.

#ии #антивирус #рекрипториум

Про фишиг с помощью LLM много говорят и пишут. Вот готовый практический пример с Claude и MCP для поиска информации по жертве: https://trustedsec.com/blog/teaching-a-new-dog-old-tricks-phishing-with-mcp

Как видно из статьи, всё прекрасно работает. Кстати, MCP сделали тоже с помощью LLM.

Фишинга станет ещё больше.

#ии #фишинг

Хороший цикл статей по межпроцессным коммуникациям в Windows

https://sud0ru.ghost.io/windows-inter-process-communication-a-deep-dive-beyond-the-surface-part-1/

https://sud0ru.ghost.io/windows-inter-process-communication-a-deep-dive-beyond-the-surface-part-2/

https://sud0ru.ghost.io/windows-inter-process-communication-a-deep-dive-beyond-the-surface-part-3/

https://sud0ru.ghost.io/windows-inter-process-communication-a-deep-dive-beyond-the-surface-part-4/

#windows #почитать