В Journal of Computer Virology and Hacking Techniques издательства Springer опубликована наша с основателем блокчейн-платформы Emercoin Олегом Ховайко статья: https://link.springer.com/article/10.1007/s11416-025-00548-2
Это окончательный англоязычный вариант с правками и учётом замечаний нескольких рецензентов. Алгоритм разработан и реализован Олегом. Моя роль в этой работе аналитическая - я пытался этот алгоритм сломать. На русском про алгоритм мы рассказывали на конференции РусКрипто-2024 практически год назад. RC4OK получился довольно шустрым, практически в 2 раза быстрее ближайшего конкурента - алгоритма Spritz.

RC4OK используется в Emercoin, реализация на C доступна на github: https://github.com/emercoin/rc4ok
Мы также писали ранее о реализации на Rust.

Алгоритм является низкоресурсным и отлично подходит для IoT и киберфизических систем, о которых мы часто слышим в последнее время.

Бумажная версия статьи выйдет в сборнике, посвящённом РусКрипто. Исходя из прошлого опыта, это будет где-то летом или осенью.

PS. В этом году на РусКрипто попасть не получилось по целому ряду причин. Скучаю. Постараемся исправиться

#криптография #rc4ok #почитать

Только что журнал прислал ссылку: https://rdcu.be/egRNz

Статью можно почитать всем желающим.

#почитать #rc4ok #криптография

Копия той самой ракеты-носителя Восток величественно возвышается на берегу Яченского водохранилища, напоминая нам о наших предках, которые после разрушительнейшей войны в условиях массы ограничений и жёсткой конкуренции смогли не просто восстановить страну, но и реализовать технологический рывок, позволивший первыми в мире вывести человека в космос, обеспечив задел и лидерство на многие десятилетия. С Днём Космонавтики!

Многие обсуждают Xanthorox AI - новый ИИ-инструмент для проведения атакующих операций в сети Интернет, который перевернёт мир ИБ, деклассирует кучу ИБ-компаний, ударит по целым направлениям типа Threat Intelligence, а все антивирусы превратит в тыкву, не дожидаясь полночи (правда, они, похоже, уже). Мы писали о чём-то таком ещё в январе, повторяться не хочется.

Пока многие обсуждают, мы глядим, как аналитический инструментарий нашей лаборатории автоматически обрабатывает с помощью ИИ сгенерированный на лету DeepSeek-ом заобфусцированный скрипт-downloader с запуском скачанной нагрузки в памяти без сохранения на диск. Скрипт, понятно, без расширения, так интереснее. Модель определяет язык сама. На каждый хитрый ИИ найдётся другой хитрый ИИ :)
Мы назвали нашу платформу Рекрипториум.

#ии #рекрипториум

Интересная техника дампа LSASS

1. Будучи админом, повышаемся до SYSTEM. Через уязвимый драйвер (можно любой установить, включая, например, один из этих) получаем возможность выполнять код в ядре.
2. Ищем LSASS, временно отключаем PPL.
3. Клонируем LSASS и дампим уже клон.
4. Восстанавливаем PPL.

Здесь подробно описано, как это делается, на примере инструмента под названием Doppelganger. Помимо самой техники описано ещё несколько приёмов по усложнению обнаружения. В общем, полезно почитать.

#offensive #windows #почитать

Интересный эксперимент.

Кратко: взяли Sysmon, закинули логи в Windows Copilot (доступ к нему есть в Windows - он туда тесно интегрирован и условно бесплатен), получили логику EDR. Дёшево и сердито.

Эксперимент на самом деле один из многих подобных. С LLM экспериментируют и работают очень многие, у кого есть необходимые ресурсы как вычислительные, так и человеческие. Мы занимаемся этим плотно и ресурсы у нас есть в достатке.

#ии #windows

Кому интересно поиграться с локальной LLM и MCP для реверсинга бинарей, вот пример, как это делается: https://medium.com/@clearbluejar/supercharging-ghidra-using-local-llms-with-ghidramcp-via-ollama-and-openweb-ui-794cef02ecf7

Но вообще простенькие локально развёрнутые LLM слишком тупы для этих задач, чтобы сразу дать профит. Надо конкретно файнтюнить.

Локально - в смысле на своём ПК или ноутбуке. Локальность - она разная :)

#ии #реверсинг

С Днём Победы!

Я эксперимент, кстати, повторил на ноутбуке с некоторыми модификациями: Ghidra поставил на отдельную виртуалку, взял другую LLM (7 миллиардов параметров), которая умеет в tooling. Результаты, в принципе, подтверждаю, но потенциал даже за счёт промт-инжинирнга вижу довольно большим. Во всяком случае удалось добиться переименования (сгенерировать осмысленные имена) ряда функций, исходя из их функционала. Т.е. модель умеет понимать и объяснять, что функции делают. Это, отмечу, полностью локально, пусть и на топовом игровом, но ноутбуке

#реверсинг #ии

Хорошая коллекция материалов по пентестам: https://github.com/m14r41/PentestingEverything/tree/main

#offensive

Ещё одна техника регистрации фейкового антивируса, чтобы отключить Defender: https://github.com/es3n1n/defendnot
#offensive #windows

С эвристическим детектом вредоносов, написанных на скриптовых языках у антивирусов всё гораздо хуже, чем с бинарями. Технически это объяснимо: для каждого из таких языков нужно создавать свой анализатор с построением Абстрактного Синтаксического Дерева (AST), своими паттернами и ML-моделями. При этом такой анализатор часто пишется на компилируемом языке. Те, кто портировал, например, ML-модели на C, нас поймут. Трудоёмкость довольно большая, но даже эта серьёзная работа ничего не гарантирует. Если у скрипта нет явно выраженных аномалий типа топорной обфускации, антивирус вряд ли на него среагирует, как это и видно на скриншоте.
На скриншоте результат анализа на VirusTotal PHP-дроппера из нашей обширной базы вредоносов, скачивающего файлы и пытающегося запустить их с помощью различных команд, а затем подчищающего за собой. Никакой обфускации, никаких аномалий. Без детального анализа с пониманием смысла обойтись сложно. С точки зрения привычных эвристик скрипт выглядит вполне обычно.
Кстати, сигнатурить такие вещи практически бесполезно в силу payload pipeline и автогенерации. Разве что извлекать IoC-и типа URL или IP-адресов, которые не особо долго живут. Это тоже, надо отметить, работа, которую часто выполняет аналитик вручную.
У нас в лаборатории для автоматического анализа скриптов развёрнута LLM, которую мы регулярно "файнтюним" силами нашей команды датасайентистов. Вот результат анализа с её помщью:

{'score': '10', 'signature': 'malicious_shell"', 'reason': 'The script downloads and executes files from a suspicious IP address, uses multiple command execution functions, and deletes evidence after execution.'}

#антивирус #рекрипториум #ии

Про песочницы

В отрасли часто можно встретить мнение, что песочница - это чуть ли не решение всех проблем: запустил в ней файл на исполнение, сдампил память, проанализировал дамп, посмотрел на поведение - сразу понятно. Всё, на первый взгляд, выглядит действительно радужно, однако, как всегда, есть нюансы.

Первый нюанс - окружение. Далеко не всегда файл в принципе можно запустить в песочнице. Он может содержать какие-то зависимости, которых нет в изолированной среде. Например, для выполнения скрипта нужен, как минимум, интерпретатор или jit-компилятор необходимой версии. Плюс к этому, необходимые этому файлу библиотеки или другие файлы и записи. Иначе файл не запустится или не отработает, как надо. Результат анализа такого файла в песочнице, как мы понимаем, будет околонулевым.

Второй нюанс - параметры запуска. Есть, например, динамически подключаемая библиотека, экспортирующая, скажем, 20 функций. Одна из них запускает вредоносную логику. Чем здесь поможет песочница, если неизвестно, что это за функция? Ничем. Другой пример - аргументы командной строки. Если они неизвестны, то толку от анализа в песочнице никакого.

Третий нюанс - малварь часто пытается определить, работает она в песочнице или нет. Есть разные способы сделать это: от специфичных маркеров и задержек до детекта, что за клавиатурой присутствует человек. Для широко используемых (и доступных) решений способы обнаружения работы в песочнице известны в узких кругах. Если же речь идёт об открытых песочницах типа "Кукушки" (Cuckoo Sandbox) или её наследницы CAPE, то решений по их обнаружению и обходу существенно больше, а доступны они более широкому кругу лиц. Вот первая попавшаяся ссылка с подробным описанием: https://dspace.cvut.cz/bitstream/handle/10467/101360/F3-DP-2022-Manhal-Ondrej-Evading_CAPE_Sandbox_Detection.pdf

Вывод такой: строить действительно качественное обнаружение вокруг той же CAPE нельзя, даже если её слегка модифицировать и накачать ИИ. По вышеозначенным причинам. Модифицировать серьёзно и убрать все маркеры и уязвимости - это, считай, переписать заново. И мандиантовской CAPA сверху тоже недостаточно для этого. Это всё может и должно быть вспомогательными, но не основными инструментами. Всё это особенно актуально для анализа скриптов, о чём мы говорили выше.

Мы преимущественно опираемся на разработанные нами инструменты анализа, базирующиеся на ИИ и глубоком анализе содержимого без необходимости запуска в изолированных средах. Это и существенно быстрее работает, и даёт, как оказалось, более качественный вердикт. Хотя, конечно, песочницу используем в ряде случаев тоже, но далеко не так часто, как многие другие.

#ии #антивирус #рекрипториум

Про фишиг с помощью LLM много говорят и пишут. Вот готовый практический пример с Claude и MCP для поиска информации по жертве: https://trustedsec.com/blog/teaching-a-new-dog-old-tricks-phishing-with-mcp

Как видно из статьи, всё прекрасно работает. Кстати, MCP сделали тоже с помощью LLM.

Фишинга станет ещё больше.

#ии #фишинг

Хороший цикл статей по межпроцессным коммуникациям в Windows

https://sud0ru.ghost.io/windows-inter-process-communication-a-deep-dive-beyond-the-surface-part-1/

https://sud0ru.ghost.io/windows-inter-process-communication-a-deep-dive-beyond-the-surface-part-2/

https://sud0ru.ghost.io/windows-inter-process-communication-a-deep-dive-beyond-the-surface-part-3/

https://sud0ru.ghost.io/windows-inter-process-communication-a-deep-dive-beyond-the-surface-part-4/

#windows #почитать

В российском сегменте Интернета обсуждают мессенджер Max - его надёжность, безопасность и подлинную российскость. Мы в этой безусловно политической возне принимать участия не будем. Дождёмся релиза. Мы уже писали об этом и отметим ещё раз: ни один публичный мессенджер не годится для приватных и корпоративных коммуникаций.
А ещё заметим, что компания "Рекрипт" является партнёром компании "Анлимитед Продакшн" - разработчика платформы корпоративных коммуникаций eXpress. Мы давно и хорошо знаем eXpress, активно пользуемся сами, всем рекомендуем. Глубоко понимая архитектуру и принципы работы, мы оказываем услуги по корректному развёртыванию и настройке платформы, разрабатываем Smart Apps, дополняя базовый функционал. Заметим, что eXpress - это полностью российский продукт, имеющий сертификат ФСТЭК по 4 уровню доверия.
Думаю, все уже догадались, что мы немного параноидально относимся к безопасности. Поэтому мы с учётом нашего богатого практического опыта досконально изучили eXpress прежде чем пользоваться самим и рекомендовать людям. Платформа надежная, функциональная, безопасная. Для корпоративных коммуникаций подходит идеально.

#мессенджер

Academia предлагает новый сервис: ИИ-рецензент. В качестве примера прислали мне сгенерированную с помощью ИИ рецензию на мою работу про быстрое асимметричное шифрование.
В целом рецензия смотрится красиво, но лишь на первый взгляд. Когда начинаешь вчитываться, становится понятно, что модель немного галлюцинирует, придумывая факты, на которые даже намёка нет. Рецензия не особо маленькая, приведу отрывок.

Overview
This work puts forward a novel approach to designing fast public key encryption systems that use a combination of random primitives and error permutations. The focus is on increasing encryption speed to enable "on-the-fly" encryption, which is particularly beneficial for real-time communications. White-box cryptography is used to ensure that decryption operations remain secure even in untrusted environments. The methodology builds upon the complexity of decoding general linear codes, leveraging McEliece-like cryptosystems, but introduces a mechanism for incorporating digital signature capabilities.

Выделенный жирным фрагмент вообще ниоткуда не следует в работе. Нет ни малейшего намёка. И это, конечно, неправда. White-box-криптография здесь нужна исключительно для обфускации открытого ключа.

А вот это просто лютый слабо связанный со здравым смыслом трэш:

The methodology is rigorous, capitalizing on the complexity of matrix transformations and error permutations to introduce robustness even against quantum computational threats.

В общем, над ИИ-рецензентом надо ещё поработать. И вообще к ИИ-рецензиям и ИИ-выборкам пока имеет смысл относиться аккуратно. Далеко не всякая модель без тонкой настройки умеет их нормально генерировать, не искажая смысла. А тонкой настройкой больших языковых моделей умеют заниматься далеко не все. Мы можем и имеем опыт.

Бесплатный препринт cтатьи доступен на ресурсе IACR: https://eprint.iacr.org/2021/136
Исходники есть здесь: https://github.com/dmschelkunov/wb_poc

#криптография #whitebox #ии