Input payload obfuscation is a real game changer here. No AMSI or ETW bypass needed and memory scanner evasion 👀 (not public tool)

https://www.msecops.de/blog/posts/rustpack-180-features/

On Nov 9th the Outflank R&D team will host a live demo of their offensive security product OST.

What to expect during 60 minutes?
☁️ Initial access techniques for cloud
🥷 Evasion of leading EDR products
📡 Next-gen C2 framework
⚙️ Kernel tradecraft

https://register.gotowebinar.com/

BinarySoap

A python tool to assist in your payloads classification against EDR/AV's machine learning models. Originally inspired by @0xTriboulet's (https://github.com/0xTriboulet) talk at 44con about evading the machine classifier.

Evading the Machine
https://github.com/0xTriboulet/evading_the_machine.git


#evade #edr #ai

repository of LOLBINS? What about LOL AI? from WWHF 2026

#ai

LogonStealer

Abuses the Credential Provider COM interface to steal plaintext passwords from logonui.exe via CredProvDataModel.dll hooks

A Windows credential stealer implemented as a rogue Credential Provider DLL. It loads automatically into logonui.exe via COM registration (bypassing PPL) and hooks CredProvDataModel.dll to capture plaintext passwords at the Windows logon and lock screen

#cred #post

appboundkatz

A reliable, simple Rust port of ElevationKatz (by Meckazin / ChromeKatz) that demonstrates how Chrome's and Edge's App-Bound Encryption (ABE) can be defeated without ever touching the SYSTEM elevation service, COM interfaces, or any elevated privilege.

#abe #stealer

Holy...

https://vulone.com/blog/a-china-linked-operator-used-ai-agents-to-attack-governments-across-asia

From Container To Host : A Red Team Guide To Docker Escapes

🖋 Author : P4RAD0X

TTs - Text Transform Shells

Payload builder that generates shellcode loaders executed via TextTransform.exe and .tt files.

#initial #exec

CredGuardRuntimeShutdown

Runtime Credential Guard deactivation via \\LSA_ISO_DISABLE_CREDENTIAL_GUARD + LSASS NT hash extraction (Win11 24H2)

Blog: https://medium.com/@s12deff/runtime-credential-guard-deactivation-d01cb9eb0062

Remote process injection via TP_DIRECT.Callback hijack

Remote process injection PoC that triggers the shellcode by overwriting 8 bytes inside an existing thread pool object (the embedded TP_DIRECT.Callback field of a TP_IO, TP_ALPC, or TP_JOB) and dispatches the shellcode through the target's own pool worker.

#process_injection #maldev

🚀 انتشار ویدئو، اسلایدها و نمونه کدهای ارائه تکنیک‌های بدافزارهای لینوکس در LinuxFest2026

لینوکس به‌عنوان قلب تپنده‌ی سرورها، کانتینرها و زیرساخت‌های حیاتی، مدت‌هاست که هدف بدافزارهای پیشرفته قرار دارد. در این ارائه تخصصی، تکامل تهدیدات لینوکسی را از لایه کاربر تا اعماق کرنل زیر ذره‌بین برده‌ایم.

🔍 آنچه در این ارائه بررسی شده است:
1️⃣ رهگیری در سطح کاربر (Userland Interception):
بررسی مکانیزم LD_PRELOAD، هوک کردن کتابخانه‌های libc و libpcap، و پنهان‌سازی فایل‌ها، پروسه‌ها و ترافیک شبکه (مطالعه موردی: بدافزار Symbiote).

2️⃣ اجرای بدون فایل (Fileless Execution):
نحوه‌ی بهره‌برداری از memfd_create و fexecve برای دور زدن محدودیت‌های noexec و اجرای کد در حافظه بدون ردپا روی دیسک (مطالعه موردی: بدافزار Kinsing).

3️⃣ روت‌کیت‌های حلقه صفر و زیروبم کرنل (Ring 0 Kernel Rootkits):
گذر از پچ کردن سنتی جدول فراخوانی سیستمی به هوک‌های داینامیک و امن‌تر ftrace، و تکنیک‌های دستکاری مستقیم اشیاء هسته یا DKOM (مطالعه موردی: روت‌کیت Drovorub).

4️⃣ ابزارهای تهاجمی eBPF (eBPF Offensive Primitives):
استفاده از fentry/fexit برای هوک‌های نامرئی، دور زدن احراز هویت در حافظه، و ایجاد شنوندگان غیرفعال بدون داشتن پورت باز روی شبکه (مطالعه موردی: BPFDoor).

5️⃣ معماری تدافعی و امن‌سازی (Defensive Architecture):
بحث پیرامون تقارن در تله‌متری (Telemetry)، قفل‌کردن کرنل (Kernel Lockdown)، امضای ماژول‌ها و راه‌های شناسایی این تهدیدات.

🎥 تماشای ویدیوی ارائه:
یوتیوب
آپارات

📂 دسترسی به اسلایدها و نمونه کدها:
لینک github

#Linux #LinuxSecurity #Cybersecurity #MalwareAnalysis #KernelSecurity #eBPF #ThreatHunting #InfoSec #Programming

Binance St0RY
*
Подозрительные лица:
Lazarus - пока не доказано
некоторый инженер из Binance - как первоначальный вектор атаки, через "заряженный" ноутbook
Тенг Ричард - СЕО бананса, никак не заткнется, ну работа такая
Чжао Чанпен - основатель бинанса, но сразу отморозился
Эмитеты вроде tether/cirlce и тд - шараги которые блочили токены
sesurity lab - ну все кто не спал
*
Стороны атаки !
атака не на криптографию, а на инфру, которая ДАЕТ право создавать и подписывать транзакции. Удобно !
Цепочка:
Ноут инженера > внутренний сервисный контейнер > Withdrawal / Signing Infrastructure (доступ к созданию и подписанию транзакций) > горячие коши на бинансе (транзакции на адреса атакера) > PROFIT
ну или так
Withdrawal API > Policy / Risk Engine > Transaction Signer > HSM / MPC / Private Key > Blockchain
*
Что неопнятно
как скомпроментировали ноут (скорее всего ключ о котором я писал)
как залезли в контейнер (самый важный момент)
как обошли лимиты на вывод и политику подписи (я думаю у контейнера инженера были сверхROOT права)
есть мнение, что было НЕ ОБЯЗАТЕЛЬНО иметь приватные ключи. Могли легитимный компонент подписания авторизовать подготовленные атакером транзакции
*
Хронология по UTC !!!:
28 октября- Кош атакthf получает средства через Tornado Cash. TRM говорит- подготовка началась минимум за 36 часов до кражи.
29 окт 02:28 - развернут первоначальный смарт контракт для теста атаки
29 окт 13:51–14:19 - тест EIP-7702 на подконтрольных кошельках
29 окт 15:59 - развернут основной вредоносный sweeper контрак
29 окт 20:05–20:20 - пошел движ, массовый вывод XRP, SOL и ТД. Из коша уходят примерно 18 270 BTC
29 окт 20:20:59 - транзакция с 50 разрешениями EIP-7702. устанавливается делегация на binance 14
29 окт 20:24 - самый крупный вывод ETH, USDT и десятков токенов
29 окт 20:30–21:04 - атакер начинает конвертацию токенов Tether и Circle блокчат часть украденного
29 окт 21:15–22:33 - признание взлома, ограничения на вывод
29 окт 23:05–23:56 - вторая волна переводов и последний движ с sweeper-контрактом
30 окт 00:10 - отзыв вредоносной EIP-7702-делегации
30 окт 02:23–02:25 - первый результаты атаки от бинанса

Using PDFs and Websockets for Creative Credential Harvesting

#initial #phish