Windows kernel drivers for red team tools development

https://idov31.github.io/2022/07/14/lord-of-the-ring0-p1.html
https://idov31.github.io/2022/08/04/lord-of-the-ring0-p2.html
https://idov31.github.io/2022/10/30/lord-of-the-ring0-p3.html
https://idov31.github.io/2023/02/24/lord-of-the-ring0-p4.html

Дождались всё-таки?

Статья про деобфускацию импортов в Overwatch 2 вышла в свет: https://yougame.biz/threads/300963/

Агаа, так так так, что тут у нас...
Райтап с использованием тритона, который не бьётся по реверсерским чатикам...
Это мы постим.

Debuggers 3301: HyperDbg

https://ost2.fyi/Dbg3301

Obscure Windows File Types https://remyhax.xyz/posts/obscure-win-files/

Windows forensic Commands, unofficial mini guide, 2023

How-to: Reversing and debugging ISAPI modules https://www.skullsecurity.org/2023/how-to-reversing-and-debugging-isapi-modules

Серия статей о том, как работает виртуализация

https://docs.saferwall.com/blog/virtualization-internals-part-1-intro-to-virtualization

https://docs.saferwall.com/blog/virtualization-internals-part-2-vmware-and-virtualization-using-binary-translation/

https://docs.saferwall.com/blog/virtualization-internals-part-3-xen-and-paravirtualization/

https://docs.saferwall.com/blog/virtualization-internals-part-4-qemu/

#Reversing
Debugging Windows Isolated User Mode (IUM) Processes
https://blog.quarkslab.com/debugging-windows-isolated-user-mode-ium-processes.html

Unveiling Secrets in Binaries using Code Detection Strategies

https://synthesis.to/presentations/recon23_code_detection.pdf

Ресерчеры из Лаборатории Касперского раскрыли атаку на цепочку поставок в рамках кампании, которая продолжается более 3 лет.

В течение этого периода сайт Free Download Manager перенаправлял пользователей Linux в репозиторий пакетов Debian с вредоносным ПО для кражи информации. Перенаправления прекратились в 2022 году.

Как отмечают ресерчеры ЛК, официальная страница загрузки freedownloadmanager[.]org, в некоторых случаях перенаправляла тех, кто пытался загрузить версию ПО под Linux, на домен deb.fdmpkg[.]org с вредоносным пакетом Debian. При этом критерии дифференциации заражений непонятны до сих пор.

Помимо прочего исследователями были выявлены многочисленные публикации в соцсетях, Reddit, StackOverflow, YouTube [1, 2] и Unix Stack Exchange с продвижением вредоносного домена в качестве надежного источника для загрузки Free Download Manager, а также сообщения, иллюстрирующие заражения пользователей.

Сам вредоносный пакет Debian, который используется для установки дистрибутивов Linux, содержит скрипт Bash для кражи информации и бэкдор crond, который устанавливает обратную оболочку с сервера C2. Компонент crond создает в системе новое задание, которое запускает сценарий кражи при запуске системы.

При этом, как выяснили исследователи, скрипт содержит комментарии на русском и украинском языках, в том числе информацию об улучшениях, внесенных в вредоносное ПО, а также высказывания активистов.

Исследователи полагают, что бэкдор crond - это штамм вредоносного ПО Bew, циркулирующего с 2013 года, а похититель Bash был обнаружен в дикой природе и впервые проанализирован еще в 2019 году. Так что, набор инструментов не является новым.

Bash Steer, изученный Лабораторией, производит сбор информации о системе, истории просмотров, паролей в браузерах, ключей аутентификации RMM, истории оболочки, данных криптокошельков, а также для облачных сервисов (AWS, Google Cloud, Oracle Cloud Infrastructure, Azure).

Собранные данные затем загружаются на сервер злоумышленников для их дальнейшего задействования в атаках или продажи в киберподполье.

По данным телеметрии ЛК, жертвы этой кампании раскиданы по всему миру, включая Бразилию, Китай, Саудовскую Аравию и Россию.

Хотя кампания в настоящее время неактивна, исследователи рекомендуют пользователям, установившим Free Download Manager для Linux в период с 2020 по 2022 год, убедиться в отсутствии вредоносной ПО.

Для следует отыскать следующие файлы и в случае обнаружения удалить их: /etc/cron.d/collect, /вар/tmp/crond, /вар/tmp/bs, а с индикаторами компрометации можно ознакомиться в отчете.

Деобфускация импортов VMP с помощью иды

От того самого челика с решением Hex-Rays CTF, который еще оказывается соавтор книги Practical Reverse Engineering

Part 1
Part 2
Part 3

Полезный лайфхак (оказывается на поверхности сурсов апи) по вырубанию эксепшенов, чтобы не мешали, когда трейсишь

e = idaapi.retrieve_exceptions()
for ex in e:
    ex.flags = idaapi.EXC_SILENT
idaapi.store_exceptions()

Snippets source