Интересный эксперимент.

Кратко: взяли Sysmon, закинули логи в Windows Copilot (доступ к нему есть в Windows - он туда тесно интегрирован и условно бесплатен), получили логику EDR. Дёшево и сердито.

Эксперимент на самом деле один из многих подобных. С LLM экспериментируют и работают очень многие, у кого есть необходимые ресурсы как вычислительные, так и человеческие. Мы занимаемся этим плотно и ресурсы у нас есть в достатке.

#ии #windows

Кому интересно поиграться с локальной LLM и MCP для реверсинга бинарей, вот пример, как это делается: https://medium.com/@clearbluejar/supercharging-ghidra-using-local-llms-with-ghidramcp-via-ollama-and-openweb-ui-794cef02ecf7

Но вообще простенькие локально развёрнутые LLM слишком тупы для этих задач, чтобы сразу дать профит. Надо конкретно файнтюнить.

Локально - в смысле на своём ПК или ноутбуке. Локальность - она разная :)

#ии #реверсинг

С Днём Победы!

Я эксперимент, кстати, повторил на ноутбуке с некоторыми модификациями: Ghidra поставил на отдельную виртуалку, взял другую LLM (7 миллиардов параметров), которая умеет в tooling. Результаты, в принципе, подтверждаю, но потенциал даже за счёт промт-инжинирнга вижу довольно большим. Во всяком случае удалось добиться переименования (сгенерировать осмысленные имена) ряда функций, исходя из их функционала. Т.е. модель умеет понимать и объяснять, что функции делают. Это, отмечу, полностью локально, пусть и на топовом игровом, но ноутбуке

#реверсинг #ии

Хорошая коллекция материалов по пентестам: https://github.com/m14r41/PentestingEverything/tree/main

#offensive

Ещё одна техника регистрации фейкового антивируса, чтобы отключить Defender: https://github.com/es3n1n/defendnot
#offensive #windows

С эвристическим детектом вредоносов, написанных на скриптовых языках у антивирусов всё гораздо хуже, чем с бинарями. Технически это объяснимо: для каждого из таких языков нужно создавать свой анализатор с построением Абстрактного Синтаксического Дерева (AST), своими паттернами и ML-моделями. При этом такой анализатор часто пишется на компилируемом языке. Те, кто портировал, например, ML-модели на C, нас поймут. Трудоёмкость довольно большая, но даже эта серьёзная работа ничего не гарантирует. Если у скрипта нет явно выраженных аномалий типа топорной обфускации, антивирус вряд ли на него среагирует, как это и видно на скриншоте.
На скриншоте результат анализа на VirusTotal PHP-дроппера из нашей обширной базы вредоносов, скачивающего файлы и пытающегося запустить их с помощью различных команд, а затем подчищающего за собой. Никакой обфускации, никаких аномалий. Без детального анализа с пониманием смысла обойтись сложно. С точки зрения привычных эвристик скрипт выглядит вполне обычно.
Кстати, сигнатурить такие вещи практически бесполезно в силу payload pipeline и автогенерации. Разве что извлекать IoC-и типа URL или IP-адресов, которые не особо долго живут. Это тоже, надо отметить, работа, которую часто выполняет аналитик вручную.
У нас в лаборатории для автоматического анализа скриптов развёрнута LLM, которую мы регулярно "файнтюним" силами нашей команды датасайентистов. Вот результат анализа с её помщью:

{'score': '10', 'signature': 'malicious_shell"', 'reason': 'The script downloads and executes files from a suspicious IP address, uses multiple command execution functions, and deletes evidence after execution.'}

#антивирус #рекрипториум #ии

Про песочницы

В отрасли часто можно встретить мнение, что песочница - это чуть ли не решение всех проблем: запустил в ней файл на исполнение, сдампил память, проанализировал дамп, посмотрел на поведение - сразу понятно. Всё, на первый взгляд, выглядит действительно радужно, однако, как всегда, есть нюансы.

Первый нюанс - окружение. Далеко не всегда файл в принципе можно запустить в песочнице. Он может содержать какие-то зависимости, которых нет в изолированной среде. Например, для выполнения скрипта нужен, как минимум, интерпретатор или jit-компилятор необходимой версии. Плюс к этому, необходимые этому файлу библиотеки или другие файлы и записи. Иначе файл не запустится или не отработает, как надо. Результат анализа такого файла в песочнице, как мы понимаем, будет околонулевым.

Второй нюанс - параметры запуска. Есть, например, динамически подключаемая библиотека, экспортирующая, скажем, 20 функций. Одна из них запускает вредоносную логику. Чем здесь поможет песочница, если неизвестно, что это за функция? Ничем. Другой пример - аргументы командной строки. Если они неизвестны, то толку от анализа в песочнице никакого.

Третий нюанс - малварь часто пытается определить, работает она в песочнице или нет. Есть разные способы сделать это: от специфичных маркеров и задержек до детекта, что за клавиатурой присутствует человек. Для широко используемых (и доступных) решений способы обнаружения работы в песочнице известны в узких кругах. Если же речь идёт об открытых песочницах типа "Кукушки" (Cuckoo Sandbox) или её наследницы CAPE, то решений по их обнаружению и обходу существенно больше, а доступны они более широкому кругу лиц. Вот первая попавшаяся ссылка с подробным описанием: https://dspace.cvut.cz/bitstream/handle/10467/101360/F3-DP-2022-Manhal-Ondrej-Evading_CAPE_Sandbox_Detection.pdf

Вывод такой: строить действительно качественное обнаружение вокруг той же CAPE нельзя, даже если её слегка модифицировать и накачать ИИ. По вышеозначенным причинам. Модифицировать серьёзно и убрать все маркеры и уязвимости - это, считай, переписать заново. И мандиантовской CAPA сверху тоже недостаточно для этого. Это всё может и должно быть вспомогательными, но не основными инструментами. Всё это особенно актуально для анализа скриптов, о чём мы говорили выше.

Мы преимущественно опираемся на разработанные нами инструменты анализа, базирующиеся на ИИ и глубоком анализе содержимого без необходимости запуска в изолированных средах. Это и существенно быстрее работает, и даёт, как оказалось, более качественный вердикт. Хотя, конечно, песочницу используем в ряде случаев тоже, но далеко не так часто, как многие другие.

#ии #антивирус #рекрипториум

Про фишиг с помощью LLM много говорят и пишут. Вот готовый практический пример с Claude и MCP для поиска информации по жертве: https://trustedsec.com/blog/teaching-a-new-dog-old-tricks-phishing-with-mcp

Как видно из статьи, всё прекрасно работает. Кстати, MCP сделали тоже с помощью LLM.

Фишинга станет ещё больше.

#ии #фишинг

Хороший цикл статей по межпроцессным коммуникациям в Windows

https://sud0ru.ghost.io/windows-inter-process-communication-a-deep-dive-beyond-the-surface-part-1/

https://sud0ru.ghost.io/windows-inter-process-communication-a-deep-dive-beyond-the-surface-part-2/

https://sud0ru.ghost.io/windows-inter-process-communication-a-deep-dive-beyond-the-surface-part-3/

https://sud0ru.ghost.io/windows-inter-process-communication-a-deep-dive-beyond-the-surface-part-4/

#windows #почитать

В российском сегменте Интернета обсуждают мессенджер Max - его надёжность, безопасность и подлинную российскость. Мы в этой безусловно политической возне принимать участия не будем. Дождёмся релиза. Мы уже писали об этом и отметим ещё раз: ни один публичный мессенджер не годится для приватных и корпоративных коммуникаций.
А ещё заметим, что компания "Рекрипт" является партнёром компании "Анлимитед Продакшн" - разработчика платформы корпоративных коммуникаций eXpress. Мы давно и хорошо знаем eXpress, активно пользуемся сами, всем рекомендуем. Глубоко понимая архитектуру и принципы работы, мы оказываем услуги по корректному развёртыванию и настройке платформы, разрабатываем Smart Apps, дополняя базовый функционал. Заметим, что eXpress - это полностью российский продукт, имеющий сертификат ФСТЭК по 4 уровню доверия.
Думаю, все уже догадались, что мы немного параноидально относимся к безопасности. Поэтому мы с учётом нашего богатого практического опыта досконально изучили eXpress прежде чем пользоваться самим и рекомендовать людям. Платформа надежная, функциональная, безопасная. Для корпоративных коммуникаций подходит идеально.

#мессенджер

Academia предлагает новый сервис: ИИ-рецензент. В качестве примера прислали мне сгенерированную с помощью ИИ рецензию на мою работу про быстрое асимметричное шифрование.
В целом рецензия смотрится красиво, но лишь на первый взгляд. Когда начинаешь вчитываться, становится понятно, что модель немного галлюцинирует, придумывая факты, на которые даже намёка нет. Рецензия не особо маленькая, приведу отрывок.

Overview
This work puts forward a novel approach to designing fast public key encryption systems that use a combination of random primitives and error permutations. The focus is on increasing encryption speed to enable "on-the-fly" encryption, which is particularly beneficial for real-time communications. White-box cryptography is used to ensure that decryption operations remain secure even in untrusted environments. The methodology builds upon the complexity of decoding general linear codes, leveraging McEliece-like cryptosystems, but introduces a mechanism for incorporating digital signature capabilities.

Выделенный жирным фрагмент вообще ниоткуда не следует в работе. Нет ни малейшего намёка. И это, конечно, неправда. White-box-криптография здесь нужна исключительно для обфускации открытого ключа.

А вот это просто лютый слабо связанный со здравым смыслом трэш:

The methodology is rigorous, capitalizing on the complexity of matrix transformations and error permutations to introduce robustness even against quantum computational threats.

В общем, над ИИ-рецензентом надо ещё поработать. И вообще к ИИ-рецензиям и ИИ-выборкам пока имеет смысл относиться аккуратно. Далеко не всякая модель без тонкой настройки умеет их нормально генерировать, не искажая смысла. А тонкой настройкой больших языковых моделей умеют заниматься далеко не все. Мы можем и имеем опыт.

Бесплатный препринт cтатьи доступен на ресурсе IACR: https://eprint.iacr.org/2021/136
Исходники есть здесь: https://github.com/dmschelkunov/wb_poc

#криптография #whitebox #ии

Относительно свежая интересная статья про хостинг CLR для запуска .Net-сборок в памяти, механизм CLR Customizations, который позволяет делать много интесного. Ну и обход AMSI, как вишенка на торте.
https://www.ibm.com/think/x-force/being-a-good-clr-host-modernizing-offensive-net-tradecraft

#offensive #windows #почитать

Проект, позволяющий локализовать базовые адреса dll и адреса экспортов в памяти без обращения к PEB (который мониторят примерно все). Метод не сказать чтобы новый: поиск сигнатур. Из метода следует, что так можно и хуки на функциях обнаруживать. Этот функционал заявлен. Метод, повторимся, не новый. Например, разработчики DRM-решений о нём хорошо знали ещё в нулевых

#windows

Вышел hashcat v7.0.0

Много доработок и новых фич как интеграционных, так и функциональных. Добавлена поддержка новых алгоритмов.

Подробнее здесь: https://hashcat.net/forum/thread-13330.html

Не особо свежий, но не теряющий актуальность код для обнаружения работы под гипервизором. Там несколько интересных подходов.

Работа под гипервизором - это в ряде случае работа в песочнице. Работу под гипервизором можно обнаружить. Много методов детекта базируется на ассемблерной инструкции CPUID. Есть сигнатурные - те, что по результатам CPUID понимают, какой конкретно движок используется. Но это можно спрятать. Что спрятать сложнее - так это время работы CPUID. Под виртуализацией оно в десятки раз больше, чем без неё. Это можно использовать для обнаружения. В публичных реализациях, как по ссылке выше, для сравнения используется инструкция FYL2XP1, вычисляющая логарифм. Дальше просто: много раз сравниваем время работы CPUID и время работы FYL2XP1. Если в большинстве случаев CPUID работает дольше, значит, с большой вероятностью код работает под гипервизором.

Здесь есть поле для фантазии и экспериментов. Например, FYL2XP1 не одна такая эталонная инструкция, да и с CPUID тоже есть варианты. Про то, что песочницы - не панацея, мы уже писали. Будем считать этот пост некоторым дополнением.

Не так давно обсуждали с несколькими коллегами предел возможностей современных LLM в части творческих задач, которые ещё никто не решал. Я современные LLM вижу, как эдакую стаю собак Павлова на стероидах. Сама структура трансформера свидетельствует в пользу такого сравнения. Рефлексия по-максимуму. Модели не думают, они рефлексируют. Эти рефлексы нарабатываются в процессе обучения. Этих рефлексов очень много и они зависят и от входа, и от внутренних состояний. Рассуждения модели - это тоже рефлексия. В связи с этим появляется ограничение на самостоятельное решение творческих задач. Т.е. человек, использующий LLM, способен работать гораздо эффективнее, чем без LLM. Местами - на порядки эффективнее. LLM вполне заменяют людей при решении типовых задач (например, по кодированию) и, конечно же, могут служить некоторым справочником. Если вернуться к ИБ, то могут ли LLM выполнять, например, задачи тестирования на проникновения? Да, с использованием инструментария (tooling) и с участием человека. А парсить код и определять, вредоносен ли он? Тоже да в подавляющем большинстве случаев. Писать код, включая вреодносы? Тоже да. Всё это относится к задачам, в общем, типовым. А автоматически искать уязвимости и генерировать эксплоиты, решая задачу Automated Exploit Generation? Пока очень слабо и с массой ошибок. Не хватает того самого творческого начала. Без грамотного человека не обойтись. Впрочем, дать дельные подсказки хорошо "зафайнтюнингованная" LLM вполне в состоянии. А вот и ссылка на статью, подтверждающую этот тезис: https://arxiv.org/html/2505.01065v1

#ии

Telegram и WhatsApp для звонков по России всё. Корпоративные коммуникации с помощью этих мессенджеров стали ещё сложнее. Хорошо, что мы уже почти 2 года как используем eXpress - защищённый российский корпоративный мессенджер. Вместе с нами его используют такие организации, как Росатом, Фосагро, РЖД, Норникель. eXpress - это не просто мессенджер, а платформа для корпоративных коммуникаций с возможностью интеграции с разнообразными сервисами и системами: почта, CRM, Active Directory и т.д.
Мы являемся партнёрами компании "Анлимитед Продакшн " - разработчика eXpress. Обладаем компетенциями и богатым опытом по развёртыванию и разработке приложений (Smart Apps) для eXpress.
Обращайтесь: contact@re-crypt.com

Мы все порой хотим по разным причинам работать с нецензурированными LLM. Некоторым из нас интересно, как из модели с цензурой делается модель без цензуры. Есть два пути.

Первый описан в этой статье и делится на два подхода: вмешательство во время инференса и ортогонализация весов. Как по мне, оба процесса немного напоминают лоботомию :) Основной побочный эффект: вероятность генерирования моделью чуши возрастает.

Второй путь - дообучение на датасете без цензуры. Про это здесь.

#ии